面向Linux的内核级代码复用攻击检测技术

来源：软件学报杂志2017年第7期北京时间：

作者：陈志锋,李清宝,张平,王烨

单位：陈志锋，解放军信息工程大学, 河南 郑州 450001;数学工程与先进计算国家重点实验室, 河南 郑州 45000111,李清宝，解放军信息工程大学, 河南 郑州 450001;数学工程与先进计算国家重点实验室, 河南 郑州 45000102,张平，解放军信息工程大学, 河南 郑州 450001;数学工程与先进计算国家重点实验室, 河南 郑州 45000103,王烨，解放军信息工程大学, 河南 郑州 450001;数学工程与先进计算国家重点实验室, 河南 郑州 45000104

摘要：近年来，代码复用攻击与防御成为安全领域研究的热点.内核级代码复用攻击使用内核自身代码绕过传统的防御机制.现有的代码复用攻击检测与防御方法多面向应用层代码复用攻击，忽略了内核级代码复用攻击.为有效检测内核级代码复用攻击，提出了一种基于细粒度控制流完整性（CFI）的检测方法.首先根据代码复用攻击原理和正常程序控制流构建CFI约束规则，然后提出了基于状态机和CFI约束规则的检测模型.在此基础上，基于编译器，辅助实现CFI标签指令插桩，并在Hypervisor中实现CFI约束规则验证，提高了检测方法的安全性.实验结果表明，该方法能够有效检测内核级代码复用攻击，并且性能开销不超过60%.

关键词：代码复用攻击;内核;控制流完整性;插桩;约束规则

基金资助：“核高基”国家科技重大专项（2013JH00103）；国家高技术研究发展计划（863）（2009AA01Z434）