[发明专利]基于静态指令流跟踪的导入表修复方法及装置

说明书

本发明属于网络安全技术领域，特别涉及一种基于静态指令流跟踪的导入表修复方法及装置，该方法实现过程如下：针对脱壳后程序进行静态分析，跟踪其指令流，捕获待指令流到系统动态链接库的跳转点；根据跳转点确定真正的API函数地址；依据真正的API函数地址修正待修复导入表的表项，完成导入表修复。本发明利用静态指令流跟踪技术可以在不动态执行指令的情况下，跟踪程序的指令流，捕获指令流到系统动态链接库的跳转点，从而确定真正的API函数地址，完成导入表的修复，有效解决混淆导入表修复问题，保证脱壳效果及脱壳后PE文件的完整重构，增强网络对恶意代码的防御能力，对网络安全具有重要的指导意义。

技术领域

本发明属于网络安全技术领域，特别涉及一种基于静态指令流跟踪的导入表修复方法及装置。

背景技术

加壳技术是恶意代码编写者经常使用的一项技术。由于被加壳的程序只有在执行时才在内存中被还原，可有效防止研究人员对程序的分析，因此，恶意代码往往会使用加壳技术来规避杀毒软件的查杀，当然，加壳技术本身并没有恶意性，许多良性软件出于版权保护的考量也会使用加壳技术。使用了加壳技术的代码很难被反汇编，若要使用反汇编技术对加壳代码进行分析，首先需要对代码进行脱壳处理，再进行特征提取和行为分析。当前，加壳软件的数量众多，每个加壳软件所使用的算法都不尽相同。虽然静态脱壳技术针对性强、效率高，但是随着加壳技术的迅速发展，未知壳越来越多，人工分析解密工程量大、逆向工作困难、准确率低等问题逐步显现。传统的静态脱壳技术不再具有普适性，脱壳技术的焦点开始转向动态脱壳技术。

尽管每种加壳软件的算法各不相同，但他们也有着一些共同特性。所有的加壳软件都会将壳代码放入加壳后的目标程序。壳代码的一般加载过程一般为：首先，壳代码保存原始程序入口点的相关信息；其次，装载在壳代码工作期间所需的必备函数；再次，壳代码将原始程序的数据代码进行解压，并构建原始程序所需的导入函数表；最后，壳代码跳转到原始程序的入口点，并将控制权转交给原始程序。当系统运行被加壳程序时，会首先执行自身的脱壳代码，解压、解密原始数据，随后跳转到原程序代码入口点继续执行。动态脱壳技术正是利用这点，让被加壳程序自己完成脱壳的操作。脱壳程序比较程序入口点处的代码与壳代码，检查程序是否加壳，随后根据壳代码工作时的特征判断程序入口点的位置，然后在入口点处将数据转存成文件格式，最后修复处理文件的导入函数地址表。现有动态脱壳方法一般都能够把脱壳后的内存镜像Dump出来，但大多无法修复导入表，使得脱壳后的代码无法重构成一个完整的PE文件，影响脱壳效果。为了加大脱壳难度，很多壳还加入了导入表混淆策略。为此，如何正确的修复脱壳后PE文件的导入表信息，是脱壳技术研究的重点和难点所在。

发明内容

针对现有技术中的不足，本发明提供一种基于静态指令流跟踪的导入表修复方法及装置，对脱壳后的程序导入表项进行修复还原，进而重构完整的PE文件，保证加壳程序的脱壳效果，具有普适性。

按照本发明所提供的设计方案，一种基于静态指令流跟踪的导入表修复方法，包含如下内容：

A)针对脱壳后程序进行静态分析，跟踪其指令流，捕获待指令流到系统动态链接库的跳转点；

B)根据跳转点确定真正的API函数地址；

C)依据真正的API函数地址修正待修复导入表的表项，完成导入表修复。

上述的，A)中，针对脱壳后程序进行静态分析，通过对导入表中导入项指向的地址进行静态指令流跟踪，逐步记录执行过的指令字节数，直到控制权跳转到动态链接库中，记录此时的跳转目的地址，作为指令流到系统动态链接库的跳转点。

优选的，A)中，依据预设的导入表伪装深度作为修复的循环判断满足条件，对待修复导入表中满足条件的导入项指针指向地址进行修复处理。

更进一步，A)中，对待修复导入表中满足条件的导入项指针指向地址进行修复处理，包含如下内容：