[发明专利]面向可执行文件的off-by-one的漏洞检测方法及系统

权利要求书

1.一种面向可执行文件的off-by-one漏洞检测方法，其特征在于，包括以下步骤：

反编译可执行文件机器码得到汇编语言，将汇编语言划分为六种语义规则形成中间语言；

利用中间语言对可执行文件进行静态分析，检测指向已分配堆块的指针集和疑似路径信息；

对可执行文件的全局变量进行跟踪分析，找出全局指针指向的内存地址和对内存空间的读写操作；

从有分配行为的函数中筛选有相同分配行为的函数，若引用相同的指针，在指针数据集内合并，去除冗余函数；

对可执行文件进行动态符号执行，依据路径选择规则选择可疑分支和路径，当有分配行为的函数调用时，记录分配的堆块大小和地址；

继续检测对分配堆块的操作，对该地址进行读写操作时，记录写入信息的长度，判断是否存在off-by-one漏洞。

2.根据权利要求1所述的面向可执行文件的off-by-one漏洞检测方法，其特征在于，所述将汇编语言划分为六种语义规则，包括：

MOV规则，表示将原信息更新给目标；

NOP规则，表示不对源信息和目标信息作任何处理；

ADD规则，表示将源污点信息添加至目标信息中；

LEA规则，用来表示指令lea计算指针的情况；

CHA规则，表示源污点信息和目标污点信息互换值；

CLE规则，表示清楚目标污点信息。

3.根据权利要求1所述的面向可执行文件的off-by-one漏洞检测方法，其特征在于，所述利用中间语言对可执行文件进行静态分析，检测指向已分配堆块的指针集和疑似路径信息，包括：

从已知的逆向路径中找出赋值操作，检查赋值操作的左边是否属于未检查的指针变量集ToCheckedPtr，如果是，将右边的指针加入所述指针变量集ToCheckedPtr；

判断右边的指针是否在已经检查过的指针变量集CheckedPtr中，如果不在，将其放入指向已经分配堆块的指针变量集MallocChunkPtr中；

将所述检查赋值操作的指针移入已经检查过的指针变量集CheckedPtr；

找出与控制流方向相同的正向路径，查看是否存在对该指针集的指针进行解引用的操作，有则作为疑似路径信息。

4.根据权利要求1所述的面向可执行文件的off-by-one漏洞检测方法，其特征在于，所述对可执行文件的全局变量进行跟踪分析，找出全局指针指向的内存地址和对内存空间的读写操作，包括：

利用全局变量分析算法抓取含有DS寄存器与偏移组合的赋值语句，并将偏移地址进行记录，形成全局指针数据集；

将全局指针数据集合并到所述指向已经分配堆块的指针变量集MallocChunkPtr。

5.根据权利要求1所述的面向可执行文件的off-by-one漏洞检测方法，其特征在于，所述从有分配行为的函数中筛选有相同分配行为的函数，若引用相同的指针，在指针数据集内合并，去除冗余函数，包括：

获取已知的具有分配行为的函数BaseFunc和调用所述函数BaseFunc的函数TagFunc的地址、参数信息；

如果两个函数的参数存在别名关系，并且TagFunc参数重中存在指向已分配堆块的指针，则将TagFunc函数放入已经分配堆块的指针变量集，保存函数地址、名称和参数信息；

不断重复迭代上述过程，找到所有具有分配行为的函数及指向空闲堆块的指针。

6.根据权利要求1所述的面向可执行文件的off-by-one漏洞检测方法，其特征在于，所述依据路径选择规则选择可疑分支和路径，包括：

在分支选择过程中，优先选择疑似路径所在的分支；

在分配点之前的路径选择靠近分配点的路径；

在分配点和指向已经分配堆块的指针变量集MallocChunkPtr之间的路径进行分支选择时，选择靠近指向分配堆块指针的路径；

其他情况的路径采用随机选择方式。