[发明专利]一种基于路径比对的校验函数定位方法

说明书

本发明涉及一种基于路径比对的校验函数定位方法，属于信息安全中的二进制漏洞挖掘领域，目的是为解决对含有校验函数的程序进行模糊测试时，对校验函数定位的时空消耗大的问题。本发明采用路径比对的方法，首先对二进制程序进行动态插桩，以获取单个测试用例的路径文件；然后变异测试用例，获得一组不同测试用例的路径文件；再对每个路径文件进行哈希计算，并比对这些哈希值，取与初始用例路径不同且短于初始路径、并且该路径的哈希值占比相对较高的路径地址为可疑地址；最后对可疑地址处的基本块规模和汇编特征进行分析，判定是否为校验函数。本发明具有准确率高、时空开销低等特点，适用对测试速度可计算资源有较高要求的模糊测试领域，具有很好的应用价值和推广价值。

技术领域

本发明涉及一种基于路径比对的程序中校验函数的定位方法，属于信息安全中的二进制漏洞挖掘领域。

背景技术

软件漏洞会严重影响信息系统的机密性、完整性、可用性、可控性、真实性等基本属性，威胁信息系统的安全，因此对软件安全漏洞问题的研究是信息安全领域十分重要的组成部分。目前，解决安全漏洞问题的主要方法是通过软件漏洞挖掘提前发现软件存在的漏洞，因此漏洞挖掘工作对于保护信息系统安全有着极其重要的意义。

漏洞挖掘领域中，最常用的挖掘方法是模糊测试技术，该技术主要通过构造随机的测试用例(测试用例是指在模糊测试时，经过变异后用于测试程序是否存在漏洞而使用的输入数据，该数据具有很大的不可预测性)，以模仿用户的随机输入，对黑盒程序进行安全性测试。但随机地构造测试用例的效果较差，测试效率较低——当被测程序中存在校验函数时，随机构造的测试数据很难通过程序循环冗余校验、哈希校验等函数的检测，因此对程序的代码测试覆盖率较低，不能发现校验函数后续执行流程的隐藏漏洞。目前有效的解决方法都需要对校验函数在程序中的位置进行定位，因此，本发明将提供一种基于路径比对的方法来定位校验函数在程序中的位置。

目前对校验函数定位的常用方法可归为两类：

1.汇编指令统计

这种方法主要通过对程序汇编指令进行统计，通过匹配符合校验函数特征的汇编代码，来确定校验函数的位置。校验函数的汇编指令与加解密计算、算数运算等函数特征具有相似性，都存在大量的移位、计算类汇编指令，因此难以对函数进行准确定位。

2.污点跟踪定位

这种方法主要通过污点跟踪技术，对函数执行的特定语句进行插桩——即在被测程序运行时插入获取汇编语句和寄存器、内存值的程序语句，并输出这些语句获取的寄存器和内存值。一次污点跟踪结束后，再使用离线分析方法，对所记录的寄存器和内存值进行分析，与输入数据(标记为污点数据)符合一定规则(污点传播规则)的寄存器、内存值被标记为污点值，当程序某处污点值和初始污点数据能与校验函数模式进行匹配时，则判定该处污点所在的程序语句为校验函数。这种方法由于记录了大量寄存器、内存和指令数据，对外存的占用量十分高；同时，记录过程和分析过程都占用了大量的cpu时钟周期，因此时间效率较低。

综上所述，校验函数定位方法存在着空间(外存)消耗大，时间效率低的问题，所以本发明提出了一种基于路径比对的校验函数定位方法，在保证定位准确率的前提下，降低空间消耗，有助于提高模糊测试的测试效率。

发明内容

本发明的目的是为解决模糊测试中校验函数定位时空间消耗大、时间效率低的问题，提出一种基于路径比对的校验函数定位方法。

本发明的设计原理为：使用指令插桩工具对目标程序以基本块(存在唯一入口和唯一出口地址的一段语句序列)为单位进行动态插桩，跟踪EIP寄存器值以获取程序对某一测试用例的执行路径(程序执行时的指令执行的地址)。对执行路径进行哈希运算，并比对这些哈希值，如果某个哈希值大量出现，则说明程序在这个位置出现了“阻塞”，即大量测试用例不能通过这个路径，可能是因为该路径出存在着校验函数。最后，在程序发生“阻塞”的位置对上下的基本块进行汇编特征匹配，以最终确定该处是否为校验函数。