【摘要】：網(wǎng)絡(luò)空間安全中的各種博弈行為,漏洞挖掘、惡意代碼檢測、模型提取與分析作為一種戰(zhàn)略資源而被各方積極關(guān)注。如何快速有效地發(fā)現(xiàn)漏洞、檢測惡意代碼行為是解決軟件自身安全問題的根本,也是信息安全領(lǐng)域的研究重點。漏洞檢測與分析、惡意軟件行為分析,以及模型自動化提取與分析都是建立在測試用例自動化生成的基礎(chǔ)上,配合各個領(lǐng)域的檢測特征和行為規(guī)范,實現(xiàn)不同的安全分析、檢測目的。所以,測試用例的有效性與自動化程度直接決定了各種安全分析的效率。Concolic測試解決了覆蓋特定執(zhí)行路徑測試用例的自動化生成問題,能夠有效地幫助安全人員理解數(shù)據(jù)內(nèi)部流向和惡意行為觸發(fā)條件、方式等問題,具有高路徑覆蓋率,低冗余測試、準確性高的特點,極大地提高了漏洞挖掘、惡意代碼分析的效率。在漏洞挖掘時,Concolic測試能夠幫助研究人員在復(fù)雜的數(shù)據(jù)依賴關(guān)系中捕獲數(shù)據(jù)之間內(nèi)在約束,并且精確記錄路徑動態(tài)執(zhí)行過程中的約束條件,從而進一步判定路徑可行性和路徑約束的完備性,加之配合不同漏洞類型的約束規(guī)則,能夠?qū)Σ煌愋偷能浖┒催M行挖掘。惡意代碼分析過程中,研究人員利用Concolic測試配合事先制定的搜索策略和惡意行為特征規(guī)則,精確定位檢測惡意代碼的觸發(fā)條件,進而捕獲其惡意行為,達到分析惡意軟件行為的目的。Concolic測試是程序分析理論中一種典型的程序混合分析技術(shù),是一種能夠覆蓋特定執(zhí)行路徑測試用例的方法模型,與程序的抽象和推理、模型檢測等理論相互結(jié)合,為程序優(yōu)化、漏洞檢測與分析、惡意軟件行為分析等技術(shù)提供基礎(chǔ)�！� Concolic ”由“ concrete”和“ symbolic ”組合而成,代表模糊測試技術(shù)和符號執(zhí)行技術(shù)的結(jié)合。符號執(zhí)行技術(shù)和模糊測試技術(shù)是程序靜態(tài)分析和動態(tài)分析領(lǐng)域的兩大典型技術(shù),符號執(zhí)行技術(shù)的核心思想是利用符號模擬程序執(zhí)行收集當前路徑分支語句中的謂詞,并形成路徑約束條件;而模糊測試技術(shù)的核心思想是利用隨機輸入驅(qū)動程序真實執(zhí)行。二者都是面向路徑的程序分析方法,前者由于沒有真實執(zhí)行程序,存在路徑爆炸隱患;后者由于大量隨機輸入可能并未改變被測程序的執(zhí)行路徑,存在測試冗余問題。所以,研究人員致力于將兩種方法的優(yōu)勢結(jié)合起來,克服各自缺陷。然而,Concolic測試發(fā)展至今,在工業(yè)界仍然沒有被大規(guī)模的應(yīng)用,其主要原因是由于Concolic測試本身還有諸多困難需要克服,例如路徑爆炸、環(huán)境交互、復(fù)雜數(shù)學(xué)函數(shù)、符號指針操作,中間語言優(yōu)化、浮點數(shù)計算等問題。這些問題阻礙了 Concolic測試技術(shù)的發(fā)展,使得Concolic測試無法實現(xiàn)理論上百分之百的路徑覆蓋率,以及不得不面臨測試效率和準確性的質(zhì)疑。本文以改進Concolic測試效率和準確性為最終目標,深入分析了 Concolic測試技術(shù)的優(yōu)劣及面臨的主要挑戰(zhàn),重點研究了 Concolic測試技術(shù)中存在的中間語言優(yōu)化、環(huán)境交互和復(fù)雜數(shù)學(xué)函數(shù)三個典型問題,并最終提出切實有效的解決方案,主要貢獻和創(chuàng)新性成果如下:首先,針對Concolic測試的中間語言冗余問題,提出一種基于冗余標志位檢測和刪除的中間語言優(yōu)化方法。中間語言優(yōu)化是指通過精簡優(yōu)化中間語言的代碼結(jié)構(gòu),提高Concolic測試后續(xù)分析效率。本文分析并討論了中間語言中存在的冗余標志位的原因,并根據(jù)標志寄存器和匯編指令的依賴關(guān)系,對x86指令進行分類和索引,深入研究了冗余標志位的檢測和刪除過程。本文以中間語言Vine IL為例,提出一種針對匯編指令冗余標志位檢測和刪除的方法,設(shè)計并實現(xiàn)了運行于x86架構(gòu)下冗余標志位檢測和刪除系統(tǒng)。冗余標志位檢測和刪除方法具體如下:首先,根據(jù)匯編指令和標志寄存器的依賴關(guān)系,將匯編指令分成三類建立索引,并分析常用指令序列,提高后續(xù)指令查找效率。其次,提出一種逆序線性掃描算法,過濾標志寄存器無關(guān)指令,檢測依賴標志寄存器的指令以及上下文中影響該標志寄存器的指令,建立標志寄存器和對應(yīng)指令的依賴關(guān)系FRC( flag relevant chain, FRC)。最后,根據(jù)FRC探測去除冗余標志位的中間表示過程,最大程度地精簡每條指令的中間表示,提高后續(xù)求解效率。其次,針對Concolic測試的環(huán)境交互問題,提出一種基于數(shù)據(jù)輸入函數(shù)探測和校正的隱藏路徑探索算法。環(huán)境交互問題研究是指分析數(shù)據(jù)輸入函數(shù)(data input interface function,DIIF)引起的部分代碼必須在特定外部條件下才能被訪問的現(xiàn)象,目的在于解決環(huán)境密集型程序中隱藏路徑的探測問題。本文討論了由DIIF引起的環(huán)境交互問題的原因,深入研究DIIF的探測和校正過程,提出基于模擬器和文件插樁兩種方式的數(shù)據(jù)輸入函數(shù)探測和校正算法,解決了環(huán)境密集型程序的某些關(guān)鍵代碼或者潛在漏洞被遺漏的問題。該方法具體包括:首先,明確給出了 DIIF定義,根據(jù)其輸出參數(shù)特性,從Windows SDK、C語言標準庫中篩選DIIF及其具有輸出屬性的參數(shù),建立DIIF索引。其次,提出一種細粒度的污點分析算法,在程序執(zhí)行過程中,檢測函數(shù)調(diào)用指令,借助DIIF索引判斷該函數(shù)是否為DIIF,并根據(jù)DIIF函數(shù)簽名,定位其輸出參數(shù)所在內(nèi)存區(qū)域。最后,在程序執(zhí)行過程中,對關(guān)鍵分支的決定條件,即相應(yīng)DIIF輸出值進行校正,實現(xiàn)隱藏路徑的探測。最后,針對Concolic測試的復(fù)雜數(shù)學(xué)函數(shù)引起的路徑無解問題,提出一種基于局部模糊測試的復(fù)雜數(shù)學(xué)函數(shù)返回值的探測和校正方法。復(fù)雜數(shù)學(xué)函數(shù)問題研究是指分析包含復(fù)雜數(shù)學(xué)函數(shù)的路徑約束條件超出約束求解器求解能力的現(xiàn)象,目的在于解決復(fù)雜數(shù)學(xué)函數(shù)引起的大量路徑無解問題。針對這一問題,本文針對復(fù)雜數(shù)學(xué)函數(shù)返回值進行建模,利用二進制文件插樁工具進行用戶態(tài)級別的指令插樁,實現(xiàn)復(fù)雜數(shù)學(xué)函數(shù)返回值的探測和校正算法,解決復(fù)雜數(shù)學(xué)函數(shù)導(dǎo)致的路徑無法求解問題。該算法具體內(nèi)容如下:首先,根據(jù)黑盒函數(shù)處理的思想,提出一種針對復(fù)雜數(shù)學(xué)函數(shù)的細粒度的污點分析算法,匹配函數(shù)返回值模型,僅收集復(fù)雜數(shù)學(xué)函數(shù)返回值相關(guān)的分支條件謂詞,定位復(fù)雜數(shù)學(xué)函數(shù)返回值所在內(nèi)存區(qū)域。其次,提出一種定向路徑搜索方法,通過添加復(fù)雜數(shù)學(xué)函數(shù)標簽,優(yōu)先訪問復(fù)雜數(shù)學(xué)函數(shù)所在路徑。最后,文本提出一種針對復(fù)雜數(shù)學(xué)函數(shù)進行局部模糊測試的方法,用來驗證約束求解結(jié)果的正確性,解決不可達路徑訪問的問題。
[Abstract]:......
【學(xué)位授予單位】：北京郵電大學(xué)
【學(xué)位級別】：博士
【學(xué)位授予年份】：2016
【分類號】：TP393.08

【參考文獻】

相關(guān)博士學(xué)位論文 前2條

1 安靖;動態(tài)符號執(zhí)行關(guān)鍵技術(shù)研究[D];北京郵電大學(xué);2014年

2 陳廳;動態(tài)程序分析技術(shù)在軟件安全領(lǐng)域的研究[D];電子科技大學(xué);2013年

，

本文編號：2423874