[发明专利]Linux平台二进制软件堆溢漏洞动态检测方法及系统

说明书

本发明Linux平台二进制软件堆溢漏洞动态检测系统，能提升堆溢出漏洞动态检测效率。二进制程序仿真加载模块根据目标程序对应的可执行文件格式，将其代码段、数据段内容载入到仿真执行环境中；API函数挂钩模块对载入到仿真执行环境中的二进制程序进行API挂钩，形成目标程序的仿真执行映像；基于动态二进制翻译的二进制程序仿真执行模块对所形成的仿真执行映像进行仿真执行；仿真执行期间目标程序发生malloc、realloc堆申请操作时，堆管理机制运行时托管模块将堆申请托管，返回给应用程序“边界精确”的内存区块；目标程序在执行中对申请得到的“边界精确”的内存区块进行读写访问时发生溢出通告用户该程序存在堆溢出漏洞。

技术领域

本发明属漏洞检测技术领域，特别涉及一种Linux平台二进制软件堆溢漏洞动态检测方法及系统。

背景技术

堆溢出漏洞指程序在对其堆缓冲区进行写操作时，由于写入范围超出目标缓冲区的长度导致的程序漏洞。近年来，该型漏洞频繁在不同软件系统中被爆出，对信息安全产生严重危害。

模糊测试技术是当前二进制软件漏洞挖掘领域的主要方法。该方法产生大量输入实例，通过观察这些输入实例执行时是否触发异常确认目标软件是否存在漏洞。该策略可以有效挖掘栈溢出、除零等程序漏洞。然而由于堆溢出漏洞触发行为大多不会显示地产生执行异常，该方法当前在堆溢出漏洞挖掘方面效率较低。

作为当前工业界主流的二进制软件漏洞检测技术，模糊测试技术的一般运行流程如下：首先随机生成大量数据，随之将这些数据向应用程序的运行时地址空间注入，对目标程序的运行状况进行监测。当目标程序执行到目标缺陷程序点并触发崩溃时，即记录本次运行对应的输入为缺陷输入。随之继续迭代该过程直至某些分析者设定的终止条件满足。

从上可见，模糊测试技术能够有效检测出导致目标二进制程序执行崩溃的输入实例。这对于栈溢出漏洞而言，该检测原则是应用充分的（因为能够触发栈溢出漏洞的输入实例往往会将目标程序的EIP寄存器覆盖，劫持程序流程到非法区域进而产生崩溃），对于堆溢出漏洞则不然（因为触发堆溢出漏洞的输入实例往往仅仅能够覆盖堆缓冲区附近的内存区域，而这并不会造成控制流劫持、页面访问异常等执行崩溃事件）。由此导致基于崩溃检测的模糊测试方法在堆溢出漏洞检测方面效率普遍偏低。

针对上述问题，Google基于LLVM编译系统，在源码漏洞检测层面给出了AddressSanitizer解决方案。该方案在目标程序源码编译过程中隐式插入堆漏洞运行时检测代码。在运行时如果该检测代码判定出有堆漏洞触发，立即通过产生异常终止程序的执行。外围的模糊测试器可以通过检测对应类型的异常事件确认堆漏洞的存在。该方案目前与AFL、libFuzze等模糊测试器相结合，在源码漏洞挖掘领域已成为标杆级的应用范例。然而由于需要在有源码情况下基于编译系统进行插桩，该方法并不适用于对二进制程序的安全分析。

透过上述分析，可见二进制模糊测试技术虽然能够有效检测出栈溢出等触发时能够导致程序执行崩溃的输入实例，却不适用于对堆溢出等不会导致执行崩溃的漏洞进行检测；AddressSanitizer固然提供了较为理想的针对堆漏洞动态检测方案，却由于基于编译时插桩，仅适用于对有源码的目标程序进行安全分析，在二进制程序堆漏洞动态检测中效率相对低下。

因此，目前迫切需要本领域技术人员解决的一个技术问题就是：如何能够创新的提出一种有效的Linux平台二进制软件堆溢漏洞动态检测方法，克服现有技术的缺陷，满足实际应用中的更多需求。

发明内容

本申请实施例的目的是提出一种Linux平台二进制软件堆溢漏洞动态检测方法及系统，依托于动态二进制翻译的用户模式软件虚拟机监控目标程序的执行轨迹，通过对堆管理机制的进行动态托管，将执行迹内发生的堆溢出行为转化为显示的异常事件，由此提升堆溢出漏洞的检测效率。

为解决上述技术问题，本申请实施例是这样实现的：