[发明专利]基于模拟栈和线程注入的一种ROP攻击栈溢出防护方法

权利要求书

1.基于模拟栈和线程注入的一种ROP攻击栈溢出防护方法，其特征在于，包括以下步骤：

步骤1、对目标进程注入远程线程，通过远程线程获得目标进程的指令流；

步骤2、通过目标进程函数的调用特征提取算法将指令流与受信的特征数据库进行比对，获得存在异常调用的指令序列；

步骤3、构建模拟栈并完成指令序列的拼接，然后在模拟栈中压入拼接的指令序列和金丝雀值，再利用函数进行模拟栈的指令调用，在函数进行返回前检测指令调用过程中金丝雀值，获得检测结果；

步骤4、根据检测结果通过远程线程回调控制目标进程的启停，并由检测结果选择地输出模拟栈上ROP攻击代码和溢出点；

所述的步骤1，还包括以下步骤：

步骤1.1、获得目标进程的句柄，用远程进程根据句柄索引出目标进程；

步骤1.2、在远程进程中开辟出一段内存并根据目标进程动态链接库名称长度确定内存区间，在该内存中写入动态链接库的名称；

步骤1.3、使用库加载函数和远程线程创建函数根据动态链接库的名称创建出远程线程；

步骤1.4、关闭目标进程的句柄，再通过远程线程获得目标进程的指令流；

所述的步骤2，其中，对cal l指令和ret指令之间的指令流进行比对。

2.根据权利要求1所述的基于模拟栈和线程注入的一种ROP攻击栈溢出防护方法，其特征在于，所述的步骤1.3，注入远程线程时，结合远程线程创建函数参数使用/STACK开关指明已提交的堆栈大小值，重载向堆栈所提交地址空间的内存数量。

3.根据权利要求1所述的基于模拟栈和线程注入的一种ROP攻击栈溢出防护方法，其特征在于，所述的步骤1.3，注入远程线程时，将递归类函数去除递归特征并将局部对象改为静态局部对象。