[发明专利]计算机系统中基于处理器跟踪实施的控制流完整性

权利要求书

1.一种控制流完整性CFI实施方法，其特征在于，所述方法在计算机系统的运行时环境中执行的受保护进程上执行，所述方法包括：

拦截源于在所述运行时环境中执行的所述受保护进程的执行的系统调用；

所述计算机系统的内核内的快速路径从内核存储器中访问与所述系统调用相对应的处理器跟踪数据包；

所述快速路径将所述处理器跟踪数据包匹配到已标记信用的控制流图CFG定义内的程序控制流条目，所述条目具有表示程序控制流的可信度的关联信用值；以及

在所述匹配之后，如果所述关联信用值不满足指定阈值，则调用慢速路径用于进一步处理所述处理器跟踪数据包，否则，提供允许执行所述系统调用的指示。

2.根据权利要求1所述的实施方法，其特征在于，通过在绘制CFG的配置过程期间对所述受保护进程执行的模糊测试操作来确定所述关联信用值。

3.根据权利要求2所述的实施方法，其特征在于，通过使用随机数据输入执行所述模糊测试操作。

4.根据权利要求1所述的实施方法，其特征在于，将所述允许执行的指示提供给所述系统调用的对应处理程序。

5.根据权利要求1所述的实施方法，其特征在于，所述程序控制流条目对应于所述受保护进程的第一码块与第二码块之间的执行流。

6.根据权利要求5所述的实施方法，其特征在于，所述已标记信用的CFG定义内的所述程序控制流条目对应于条件控制流。

7.根据权利要求1所述的CFI实施方法，其特征在于，所述已标记信用的CFG定义从包含下述项的保守CFG中获得：

表示条件控制流的条目，以及

表示非条件控制流的条目。

8.一种用于执行控制流完整性CFI方法的计算机处理节点，其特征在于，所述计算机处理节点包括：

处理硬件；以及

包括计算机可执行指令的非瞬时性计算机可读介质，所述计算机可执行指令在由所述处理硬件执行时帮助所述计算机处理节点执行包括以下操作的所述CFI方法：

拦截源于在运行时环境中执行的受保护进程的执行的系统调用；

计算机系统的内核内的快速路径从内核存储器中访问与所述系统调用相对应的处理器跟踪数据包；

所述快速路径将所述处理器跟踪数据包匹配到已标记信用的控制流图定义内的程序控制流条目，所述条目具有表示程序控制流的可信度的关联信用值；以及

在所述匹配之后，如果所述关联信用值不满足指定阈值，则调用慢速路径用于进一步处理所述处理器跟踪数据包，否则，提供允许执行所述系统调用的指示。

9.根据权利要求8所述的计算机处理节点，其特征在于，通过在绘制CFG的配置过程期间对所述受保护进程执行的模糊测试操作来确定所述关联信用值。

10.根据权利要求9所述的计算机处理节点，其特征在于，通过使用随机数据输入执行所述模糊测试操作。

11.根据权利要求8所述的计算机处理节点，其特征在于，将所述允许执行的指示提供给所述系统调用的对应处理程序。

12.根据权利要求8所述的计算机处理节点，其特征在于，所述程序控制流条目对应于所述受保护进程的第一码块与第二码块之间的执行流。

13.根据权利要求12所述的计算机处理节点，其特征在于，所述已标记信用的CFG定义内的所述程序控制流条目对应于条件控制流。

14.根据权利要求8所述的计算机处理节点，其特征在于，所述已标记信用的CFG定义从包含下述项的保守CFG中获得：

表示条件控制流的条目，以及

表示非条件控制流的条目。

15.一种非瞬时性计算机可读介质，其特征在于，所述非瞬时性计算机可读介质存储有计算机程序，其中，所述计算机程序被处理器执行时，能够实现权利要求1至7任意一项所述的方法。