基于地址完整性检查的函数指针攻击检测

来源：计算机应用杂志2015年第2期北京时间：

作者：代伟, 刘智, 刘益和

单位：1. 内江师范学院 计算机科学学院, 四川 内江 641112;2. 电子科技大学 计算机科学与工程学院, 成都 611731

摘要：针对传统函数指针攻击检测技术无法检测面向返回编程(ROP)攻击的问题,提出了一种基于跳转地址完整性检查的新方法,在二进制代码层面能够检测多种类型的函数指针攻击。首先,通过静态分析得到函数地址信息,然后动态检查跳转目标地址是否位于合法函数区间。分析了非入口点跳转,提出一种动静结合方法检测ROP攻击。基于二进制代码插桩工具实现原型系统fpcheck,对真实攻击和正常程序进行了测试。实验结果表明fpcheck能够检测包括ROP在内的多种函数指针攻击,通过准确的检测策略,误报率显著下降,性能损失相比原始插桩仅升高10%~20%。

关键词：缓冲区溢出,面向返回编程,非入口点跳转,动态分析,二进制代码插桩

基金资助：2013年四川省学术和技术带头人培养资金资助项目(13XSJS002)。