[发明专利]一种针对ROP攻击的检测方法

说明书

本发明公开了一种针对ROP攻击的检测方法。该检测方法包括获得动态链接库的新基址＝动态链接库的原基址+偏移量，所述偏移量为分配粒度的随机非零整数倍，且所述偏移量的绝对值大于动态链接库的长度；修改动态链接库的基址字段，令所述基址字段指向所述动态链接库的新基址；在动态链接库中增加代码段，所述代码段用于在动态链接库的原基址对应的加载位置填充警告指令；所述代码段的尾部具有跳转指令，所述跳转指令的跳转距离为跳转指令与入口函数的相对距离；将动态链接库的入口地址设置为所述代码段的地址。本发明可以应用于所有Windows系统，不会对系统造成额外负担，能够检测除JIT‑ROP以外的所有ROP攻击。

技术领域

本发明属于系统安全技术领域，更具体地，涉及一种针对ROP攻击的检测方法。

背景技术

随着信息技术的高速发展和网络的快速普及，计算机软件系统在社会生活中扮演着越来越重要的角色，与此同时，各种程序漏洞仍然很普遍，在遗留的软件系统中尤为突出，通过这些漏洞，攻击者可以劫持软件系统程序的控制流并将其转向自己预设的控制流，令系统执行非用户意愿的行为。一种普遍的攻击方式就是Return-Oriented Programming(简称ROP)攻击，这种攻击方式通过搜索内存中以跳转指令(如RET指令)结尾的代码片段，并将这些代码片段进行组合形成一个用于完成攻击目的的指令序列，利用内存漏洞替换掉原有的程序流程。ROP攻击者最常用的就是在Windows的动态链接库中搜索代码片段。

现有的针对ROP攻击的实际运用的检测方法是控制流完整性检测方法(ControlFlow Integrity，CFI)：由加州大学和微软公司于2005年提出，其检测策略是检查程序控制流的完整性，不允许非法转移程序的控制流，这就切断了ROP的攻击途径。承袭此思想，Abadi提出了基于控制流程图(Control flow graph，CFG)的CFI检测机制，程序按照控制流程在每一个跳转指令进行地址跳转时，通过检查目的地址的有效性，从而保证程序所执行的命令在预先设定的CFG范围内。这种检测机制不仅能够检测静态ROP攻击还能够检测即时搜索代码的JIT-ROP攻击(Just-In-Time Code Reuse)。但是由于CFI针对程序每一步都要进行过滤，所以会产生巨大的性能负担；同样由于该方案是需要对系统的内核程序进行修改，在Windows8之前的系统都不能应用这种检测方法。

基于地址空间随机化(Address Space Layout Randomization，ASLR)能够防御非JIT-ROP类型的ROP攻击，在Windows Vista版本及以后的Windows系统中均实现了此技术，但在之前的Windows版本并不兼容此方法。目前还没有一种方法能够在在这些系统中实现检测ROP攻击。根据零点指标数据2015年3月9日公布的网络调查结果显示，目前WindowsXP在国内电脑操作系统市场占据半壁江山的份额，尽管微软停止技术支持，但是仍有近八成用户不愿放弃使用XP。因此针对适用于所有系统的ROP检测研究还是很有必要的。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提出了一种针对ROP攻击的检测方法，其目的在于转移ROP所攻击的动态链接库的加载位置，，并在原加载位置填充警告指令，由此满足ROP攻击的防御需求。

为实现上述目的，按照本发明的一个方面，提出了一种针对ROP攻击的检测方法，包括：

修改动态链接库的基址字段，令所述基址字段指向的基址由动态链接库的初始基址改变为动态链接库的新基址，且所述动态链接库的新基址＝偏移量+动态链接库的初始基址；

在动态链接库中增加代码段，所述代码段用于在动态链接库的初始基址对应的加载位置填充警告指令；所述代码段的尾部具有跳转指令，所述跳转指令的跳转距离为跳转指令与动态链接库的原入口函数的相对距离；

将动态链接库的入口地址由原入口函数的起始地址修改为所述代码段的起始地址。