Shellcode静态检测技术研究

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ＲＥＳＥＡＲＣＨＯＮＳＨＥＬＬＣＯＤＥＳＴＡＴＩＣＤＥＴＥＣＴＩＯＮＴＥＣＨＮＩＱＵＥＳ
ＧｅＪｉＳｈｉＨｏｎｇＸｕＬｉａｎｇｈｕａ
（ＪｉａｎｇｎａｎＩｎｓｔｉｔｕｔｅｏｆＣｏｍｐｕｔｉｎｇＴｅｃｈｎｏｌｏｇｙ，Ｗｕｘｉ２１４０８３，Ｊｉａｎｇｓｕ，Ｃｈｉｎａ）
１．１Ｓｈｅｌｌｃｏｄｅ的构成
以典型的栈溢出为例，攻击者在发起攻击时，向目标系统发送的数据一般包括随机数据、ＮＯＰ填充字段、Ｓｈｅｌｌｃｏｄｅ功能主体和新的函数返回地址，一般将后三部分称为Ｓｈｅｌｌｃｏｄｅ，如图１所示。
第２７卷第２期２０１０年２月
Fra Baidu bibliotek
计算机应用与软件ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ
Ｖｏｌ２７Ｎｏ．２１０Ｆｅｂ．２０
Ｓｈｅｌｌｃｏｄｅ静态检测技术研究
执行代码被称为Ｓｈｅｌｌｃｏｄｅ，一般实现开启Ｓｈｅｌｌ、下载并执行攻击程序、添加系统帐户等功能。针对缓冲区溢出攻击的不同阶段，出现了多种防护技术，主
［２］要包括：如ＳｔａｃｋＧｕａｒｄ； ①返回地址保护技术， ② 地址空间随［３］［４］机化技术； ③数据执行保护技术；④ 某些安全软件厂商采
０引言１Ｓｈｅｌｌｃｏｄｅ的构成和检测原理
利用缓冲区溢出安全漏洞是进行网络攻击、获取系统控制权的重要手段，因此，针对缓冲区溢出攻击的防御技术也就成为网络安全领域研究的重要内容。攻击者一般通过向目标进程有限长度的缓冲区内写入超长的数据，覆盖函数的返回地址或函数指针，使程序跳转到攻击者
图２ＪＭＰＥＳＰ实现跳转
系统之间实现的方法不同，可以被绕过。基于特征码的检测技术实现最为简单，检测速度最快，但是由于检测特征的不完整性，只采用基于特征码的检测技术无法取得良好的检测效果，容易被绕过。
１．２．２ＮＯＰ填充字段的变形由简单的ＮＯＰ指令组成的填充字段很容易被入侵检测系统检测，攻击者找到了多种指令来代替ＮＯＰ指令实现填充字段的功能，如单字节指令，特定的双字节、三字节甚至四字节指令，带跳转的填充指令等，一般称这些指令为类ＮＯＰ指令。各种变形的填充字段在文献［５］中有详细的描述。变形的填充字段给Ｓｈｅｌｌｃｏｄｅ检测增加了难度。１．２．３功能字段的编码为了满足特定缓冲区溢出漏洞对攻击数据的要求和躲避基于特征码匹配的检测，攻击者对Ｓｈｅｌｌｃｏｄｅ的功能字段进行编
２０１０年
由于功能字段在进程空间中的位置难以精确地得到，因此在功能字段前增加了ＮＯＰ填充字段，包含一些空指令（如０ｘ９０），当函数返回时，跳转到这些指令上仍然可以正确地执行到Ｓｈｅｌｌｃｏｄｅ的功能字段。同时，通用性较强的Ｓｈｅｌｌｃｏｄｅ执行后一般会执行一个被称为“ 自定位” 的操作，以得到自身在进程空间中的位置，来进行数据的存取操作。可见，Ｓｈｅｌｌｃｏｄｅ的各个部分都有明显的特征，可以利用这些特征来对其进行检测。
２．１基于特征码的检测技术
在入侵检测系统Ｓｎｏｒｔ中，基于ＮＯＰ字段的Ｓｈｅｌｌｃｏｄｅ检测
８］被作为一个插件［，如果网络流中连续出现的ＮＯＰ指令数量超
过一定的阈值则认为该网络流中包含Ｓｈｅｌｌｃｏｄｅ。这种检测方法对于简单的Ｓｈｅｌｌｃｏｄｅ具有一定的检测效果，但其漏报率和误报率完全依赖于阈值的大小，难以同时获得较好的结果。而且，这种检测方法难以完全包括多种类ＮＯＰ指令，同时对不需要ＮＯＰ字段的攻击无能为力，可以被轻易地绕过。
ＡｂｓｔｒａｃｔＢｕｆｆｅｒｏｖｅｒｆｌｏｗａｔｔａｃｋｉｓｏｎｅｏｆｔｈｅｍｏｓｔｓｅｒｉｏｕｓｔｈｒｅａｔｓｆｏｒＩｎｔｅｒｎｅｔｓｅｃｕｒｉｔｙ，ａｎｄＳｈｅｌｌｃｏｄｅｄｅｔｅｃｔｉｏｎｉｓａｎｅｆｆｅｃｔｉｖｅｍｅｔｈｏｄｔｏｃｏｍｂａｔｔｈｉｓｋｉｎｄｏｆａｔｔａｃｋ．ＳｔａｒｔｉｎｇｆｒｏｍｔｈｅｓｔｒｕｃｔｕｒｅａｎｄｃｈａｒａｃｔｅｒｉｓｔｉｃｓｏｆＳｈｅｌｌｃｏｄｅ，ｄｉｆｆｅｒｅｎｔｋｉｎｄｓｏｆｓｔａｔｉｃｄｅｔｅｃｔｉｏｎｔｅｃｈｎｉｑｕｅｓｏｎＳｈｅｌｌｃｏｄｅａｒｅｓｔｕｄｉｅｄ，ｔｈｅｉｒａｄｖａｎｔａｇｅｓａｎｄｓｈｏｒｔｃｏｍｉｎｇｓａｒｅａｎａｌｙｓｅｄａｎｄｃｏｍｐａｒｅｄ，ａｎｄｆｉｎａｌｌｙａｄｅｔｅｃｔｉｏｎｓｃｈｅｍｅｂａｓｅｄｏｎｔｈｅｓｅｓｔｕｄｉｅｓｉｓｐｒｏｐｏｓｅｄａｎｄｉｔｓｐｒｏｔｏｔｙｐｅｉｓｉｍｐｌｅｍｅｎｔｅｄ．ＫｅｙｗｏｒｄｓＢｕｆｆｅｒｏｖｅｒｆｌｏｗａｔｔａｃｋＳｈｅｌｌｄｏｃｅＩｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎＤｉｓａｓｓｅｍｂｌｙＶｉｒｔｕａｌｅｘｅｃｕｔｉｏｎ静态检测方法，并实现了一个Ｓｈｅｌｌｃｏｄｅ静态检测原型系统。
图１Ｓｈｅｌｌｃｏｄｅ构成
其中功能字段实现攻击者的意图，如下载执行攻击程序、开启Ｓｈｅｌｌ、添加帐户等。因为要以较短的代码实现其功能，它一般需要调用系统提供的ＡＰＩ函数。由于系统的不同版本中ＡＰＩ函数的地址是不固定的，为了使Ｓｈｅｌｌｃｏｄｅ得到通用，它需要一种方法来实现ＡＰＩ函数地址的查找。返回地址字段用来覆盖本函数原本的返回地址，是指向Ｓｈｅｌｌｃｏｄｅ功能字段的指针，当函数返回时，进程将跳转到Ｓｈｅｌｌｃｏｄｅ的功能字段继续执行。对于已知的缓冲区溢出漏洞，这个返回地址的位置是固定的或者变化很小。
用的ＡＰＩ函数调用来源追踪技术等。这些技术对进程的执行进行实时保护，可以有效地抵御很大一部分缓冲区溢出攻击，但是它们仍然存在被绕过的可能，同时由于实现的难度和开销问题，这些技术的推广进展缓慢。由于缓冲区溢出攻击具体功能的实现需要Ｓｈｅｌｌｃｏｄｅ来完成，攻击者发送的攻击数据中一定包含Ｓｈｅｌｌｃｏｄｅ，所以可以将检测Ｓｈｅｌｌｃｏｄｅ是否存在作为判断是否存在缓冲区溢出攻击的依据。Ｓｈｅｌｌｃｏｄｅ静态检测技术是指在攻击者发送的攻击数据到达目标进程之前，根据其特征将其识别出来以阻止攻击的继续进行。静态检测技术的优点在于可以在Ｓｈｅｌｌｃｏｄｅ影响目标进程之前将其拦截，不会对目标进程带来额外开销，并且部署的难度较小。本文研究了Ｓｈｅｌｌｃｏｄｅ的构成和特点，总结分析了现有的
收稿日期：２００８－０７－３１。国家高技术研究发展计划基金项目（２００６ＡＡ０１Ｚ４３１）。戈戟，硕士生，主研领域：信息安全。
４８
计算机应用与软件
节对不同发展阶段的Ｓｈｅｌｌｃｏｄｅ检测技术进行分析。
［９］Ｂｕｔｔｅｒｃｕｐ是一种基于返回地址的检测方法，由于利用已
１．２Ｓｈｅｌｌｃｏｄｅ的发展
随着对缓冲区溢出攻击和防御的研究的深入，攻击者构造出变形的Ｓｈｅｌｌｃｏｄｅ来更好地利用缓冲区溢出漏洞或者躲避检测。１．２．１取消ＮＯＰ填充字段在Ｗｉｎｄｏｗｓ系统下，由于溢出发生时某些寄存器指向栈中的特定位置，可以用寄存器来实现对功能字段的精确定位，不再需要ＮＯＰ填充字段，这使得依赖于ＮＯＰ填充字段的Ｓｈｅｌｌｃｏｄｅ检测技术变得无效。以栈溢出为例，函数返回时ＥＳＰ寄存器指向返回地址的下一个地址，这就可以用图２所示的Ｓｈｅｌｌｃｏｄｅ结构来实现溢出，其中用ＪＭＰＥＳＰ的地址覆盖函数返回地址，功能字段跟在后面。
知的缓冲区溢出漏洞时，返回地址字段的值固定或者变化很小，可以根据网络流中是否存在这些地址来判断其中是否包含Ｓｈｅｌｌｃｏｄｅ。这种方法对于已知的漏洞利用有一定的检测效果，但是无法检测利用未知漏洞进行的攻击。同时，由于覆盖返回地址的值有一定的变化范围，所以需要一段地址范围来作为特征码，这可能会带来较多的误报。与这种检测方法类似的是通过检测ＪＭＰＥＳＰ指令的地址来判断Ｓｈｅｌｌｃｏｄｅ的存在，但是对于具体的漏洞，可以用其他指令来替换ＪＭＰＥＳＰ指令，而每一条指令在进程空间中可能存在于多个位置，这种方法不可能把每一个地址都作为检测特征，不然会带来较严重的误报。某些安全系统把Ｓｈｅｌｌｃｏｄｅ功能字段中的一些特征字节作为检测依据，如在Ｕｎｉｘ系统下开启Ｓｈｅｌｌ需要的“ ／ｂｉｎ／ｓｈ ” 等字符串。但是实现同一功能可能存在多种方法，而且不同的操作
戈戟史洪徐良华
（江南计算技术研究所江苏无锡２１４０８３）
摘要缓冲区溢出攻击是网络安全的重大威胁，事先检测是否存在Ｓｈｅｌｌｃｏｄｅ是对抗缓冲区溢出攻击的有效手段。从Ｓｈｅｌｌｃｏｄｅ构成和特征出发，分类研究各种Ｓｈｅｌｌｃｏｄｅ静态检测技术，分析比较它们的优缺点，在此基础上提出了一种检测方案并实现了一个原型系统。关键词缓冲区溢出攻击Ｓｈｅｌｌｃｏｄｅ入侵检测反汇编虚拟执行
１］精心构造的可执行代码中执行［。这段攻击者精心构造的可
Ｓｈｅｌｌｃｏｄｅ的检测一般从Ｓｈｅｌｌｃｏｄｅ的构成出发，根据其各个组成部分区别于正常数据流的特征来进行检测。本节分析Ｓｈｅｌｌｃｏｄｅ的构成、特征和最新发展。