[发明专利]一种基于虚拟化技术的软件隐私泄露行为检测方法及系统

权利要求书

1.一种基于虚拟化技术的软件隐私泄露行为检测方法，其步骤包括：

1)在虚拟机中加载待检测的应用程序，并执行该应用程序；

2)当应用程序访问敏感资源时，在相应内存的存储位置添加污点标签，在虚拟机中对应用程序执行指令级污点追踪并动态生成指令级污点依赖图；

3)通过系统信息重构，从虚拟机监控层得到关于虚拟机客户操作系统语义级的信息；

4)通过将指令级动态污点分析和系统信息重构结合，获得系统进程级的污点依赖图；

5)利用指令级污点依赖图和进程级的污点依赖图，得到细粒度的污点分析图，进而分析软件的隐私泄露行为并获得最终检测结果。

2.如权利要求1所述的方法，其特征在于，步骤1)在虚拟机中执行应用程序时，修改虚拟机使得后续指令级动态污点分析过程能够在虚拟机指令执行时进行指令捕获和分析。

3.如权利要求1所述的方法，其特征在于，步骤2)在指令级分析中处理两种污点传播流：数据污点传播流和控制污点传播流。

4.如权利要求3所述的方法，其特征在于，所述数据污点传播流的处理方法为：

2-1-1)如果一条指令包含一个源操作数和一个目的操作数，源操作数中存储的数据是脏的，那么将目的操作数的存储的位置标记为脏；

2-1-2)如果一条指令中用来寻找源操作数地址或者目的操作数地址的数值是脏的，那么将其目的操作数存储的位置标记为脏；

2-1-3)如果一条指令本身存储的内存空间是脏的，那么将其目的操作数存储的位置标记为脏；

2-1-4)如果前述的条件均不满足，而且此指令会更新系统的状态信息，那么将相应的目标标记为干净；

所述控制污点传播流的处理方法为：

2-2-1)如果一条控制指令的条件标记是脏，那么此时使用静态分析方法遍历由于控制指令引起的两条不同的执行路径，找到两条执行路径的结合点，从而找到所有受此控制指令影响的指令，并将这些指令存储位置全部标记为脏；

2-2-2)如果一条控制指令的目的地址的标记是脏，同样将相关指令存储位置全部标记为脏；

2-2-3)如果一条控制指令本身存储的内存空间是脏的，同上处理；通过分析每一条指令的执行活动，逐渐的生成一个指令级的污点依赖分析图。

5.如权利要求1所述的方法，其特征在于：步骤3)将整个信息重构都放到虚拟机监控层实现，不需要客户操作系统的参与。

6.如权利要求1所述的方法，其特征在于：步骤4)在获得进程级污点依赖图的过程中，当一个指令执行时，通过进程级污点依赖图获得所有的恶意进程，进程级污点依赖图记录了内部进程交互的不同路径。

7.如权利要求1所述的方法，其特征在于：步骤5)利用指令级污点依赖图和进程级的污点赖图上污点元素的依赖关系进行前向和后向处理，得到所述细粒度的污点分析图。

8.一种采用权利要求1所述方法的基于虚拟化技术的软件隐私泄露行为检测系统，其特征在于，包括：

虚拟机，用于数据段指令翻译；

应用程序加载模块，用于将应用程序加载到虚拟机中执行；

指令级动态污点分析模块，当应用程序访问敏感资源时，在相应内存的存储位置添加污点标签，在虚拟机中对应用程序执行指令级污点追踪并动态生成指令级污点依赖图。

系统重构翻译模块，通过系统信息重构从虚拟机的监控层得到关于虚拟机中客户操作系统的语义级的信息；

进程级污点依赖图生成模块，通过将指令级动态污点分析和系统信息重构结合，获得进程级的污点依赖图；

行为检测分析模块，根据指令级污点依赖图和进程级的污点依赖图得到细粒度的污点分析图，进而分析软件的隐私泄露行为，并输出最终检测结果。

9.如权利要求8所述的系统，其特征在于，所述指令级动态污点分析模块在指令级分析中处理两种污点传播流：数据污点传播流和控制污点传播流。

10.如权利要求8所述的系统，其特征在于，所述行为检测分析模块利用指令级污点依赖图和进程级的污点赖图上污点元素的依赖关系进行前向和后向处理，得到所述细粒度的污点分析图。