[发明专利]监视控制流完整性

权利要求书

1.一种用于在低级执行环境中监视控制流完整性的方法，所述方法包括：

在监视器处从所述执行环境接收指示所述执行环境已进入受控操作模式的消息；

在所述监视器处接收表示在所述执行环境处执行控制流过程的所选部分的数据分组；

使用所述数据分组从可准许的控制流路径集合中识别与所述控制流过程的所选部分相对应的路径；以及

确定所识别的路径是否对应于预期控制流行为。

2.根据权利要求1所述的方法，还包括：

仪表化用于在受控操作模式中执行的指令集。

3.根据权利要求2所述的方法，还包括：

自动仪表化所述指令集以提供控制流完整性相关的信息。

4.根据权利要求3所述的方法，还包括：

执行所述指令集的第一和第二仪表化遍，以分别管理向后边缘和向前边缘控制流完整性。

5.根据权利要求2所述的方法，还包括：

手动仪表化所述指令集以提供控制流完整性相关的信息。

6.根据权利要求1所述的方法，还包括：

确定所述指令集的所述预期行为，以生成在所述目标上执行的所述指令集的预期控制流行为。

7.根据权利要求6所述的方法，还包括：

在所述监视器处接收所述目标的所生成的预期控制流行为，以及在所述执行环境的引导期间确定的所述指令集的存储器映射。

8.一种用指令编码的非暂时性机器可读存储介质，所述指令可由处理器执行以用于在低级执行环境中监视控制流完整性，所述机器可读存储介质包括：

用于处理来自所述执行环境的指示所述执行环境已进入受控操作模式的消息的指令；

用于处理表示在所述执行环境处执行控制流过程的所选部分的数据分组的指令；

用于使用所述数据分组从可准许的控制流路径集合中识别与所述控制流过程的所选部分相对应的路径的指令；以及

用于确定所识别的路径是否对应于预期控制流行为的指令。

9.根据权利要求8所述的非暂时性机器可读存储介质，还包括用于通过确定预期行为与监视的行为之间差异的存在来检测所述低级执行环境的行为中的损害的指令。

10.根据权利要求8所述的非暂时性机器可读存储介质，还包括指令，所述指令用于仪表化用于在所述受控操作模式中执行的指令集，以提供控制流完整性相关的信息。

11.根据权利要求9所述的非暂时性机器可读存储介质，还包括用于执行所述指令集的第一和第二仪表化遍以分别管理向后边缘和向前边缘控制流完整性的指令。

12.根据权利要求8所述的非暂时性机器可读存储介质，还包括用于在函数调用进入和离开函数时比较所述函数调用的返回地址以确定在系统栈上是否存在对所述返回地址的篡改的指令。

13.根据权利要求8所述的非暂时性机器可读存储介质，还包括：

用于在间接调用之前接收包含正被调用的函数的地址的消息的指令；以及

用于验证正被调用的函数的地址是有效函数并且具有与预期控制流行为一致的类型的指令。

14.一种用于在低级执行环境中监视控制流完整性的装置，所述装置包括：

监视器，用于：

从所述执行环境接收指示所述执行环境已进入受控操作模式的消息；

接收表示在所述执行环境处执行控制流过程的所选部分的数据分组；

使用所述数据分组从可准许的控制流路径集合中识别与所述控制流过程的所选部分相对应的路径；以及

确定所识别的路径是否对应于预期控制流行为。

15.根据权利要求14所述的装置，所述监视器接收所述目标的所生成的预期控制流行为，以及在所述执行环境的引导期间确定的指令集的存储器映射。