[发明专利]一种基于RET指令与JMP指令的ROP攻击检测方法

摘要

一种基于RET指令与JMP指令的ROP攻击检测方法，本发明涉及软件安全领域，其旨在解决现有应对ROP攻击的方法只有一种类型或一个步骤的ROP攻击检测验证，不能够充分地识别ROP攻击指令的本质性特征，不能够检测到深度隐藏的ROP攻击指令，并存在匹配精度低，误判率高且检测通用性差等技术问题。采用插桩工具跟踪目标程序，匹配相应指令，得到指令流，以此为依据，将疑似符合ROP攻击特征的指令加入循环队列。利用数学方法，对循环队列中的指令进行进一步判定，根据输出结果与ROP攻击特征进行再一次匹配，由此判定ROP攻击。本发明用于ROP攻击的全面检测。

主权项

1.一种基于RET指令与JMP指令的ROP攻击检测方法，其特征在于，包括创建循环队列；利用二进制插桩工具启用目标程序；跟踪目标程序并进行指令匹配；加载对应指令的检测模块以及检测模块生成疑似ROP攻击指令；将疑似ROP攻击指令加入循环队列并判断其是否超出阀值；疑似ROP攻击指令包括基于异常事件的RET指令和/或JMP指令；疑似ROP攻击指令包括基于异常事件的RET指令和/或JMP指令，异常事件包括在RET指令执行跳转后，目标地址单元的上一单元格内不是CALL指令；此循环队列容量为10个指令，用于存放满足特征的指令；队列初始为空，设置int类型标志位location用于记录当前队尾地址；当需要存放的指令大于10时，新插入的指令将按照插入顺序由早到晚覆盖之前的指令，使得循环队列中维护的都是最新运行的指令，以保证ROP攻击检测的准确性。