CN109918903B - 一种基于llvm编译器的程序非控制数据攻击防护方法 - Google Patents
一种基于llvm编译器的程序非控制数据攻击防护方法 Download PDFInfo
- Publication number
- CN109918903B CN109918903B CN201910168434.5A CN201910168434A CN109918903B CN 109918903 B CN109918903 B CN 109918903B CN 201910168434 A CN201910168434 A CN 201910168434A CN 109918903 B CN109918903 B CN 109918903B
- Authority
- CN
- China
- Prior art keywords
- instruction
- program
- llvm
- pointer
- data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Stored Programmes (AREA)
Abstract
本发明提供一种基于LLVM编译器的程序非控制数据攻击防护方法，针对现今广泛应用的64位应用程序，将程序源代码编译成中间代码，通过对中间代码进行静态分析得到指向性分析结果，并且获得需要保护的非控制数据；同时，它在中间代码的基础上进行指令插桩，以保证程序的非控制数据不被恶意篡改。这种方法克服了原有静态分析方法的不足，提高了分析的精确程度，并且利用较低的空间和时间复杂度解决了攻击者对程序非控制数据恶意篡改所带来的安全威胁。
Description
技术领域
本发明属于软件安全领域，涉及对恶意攻击的防护，具体是一种基于LLVM编译器的程序非控制数据攻击防护方法，可用于保护程序的安全运行。
背景技术
由于很多程序都是由不安全的语言编写而成的，比如C或C++语言，从而容易受到基于内存安全的攻击。例如，攻击者可以利用一个缓冲区溢出漏洞，覆盖内存中的某个函数返回地址或程序分支变量数据，从而改变程序的执行流程。
为了应对攻击，近年来，业界研究人员提出了许多保护机制来抵御基于内存安全的攻击。然而，分析发现，大多数现存的保护机制都是针对程序的控制数据(比如，函数指针和函数返回地址)提供保护，从而使得程序能够抵御基于控制流篡改的攻击。例如，美国加州大学圣克鲁兹分校等研究机构提出的CFI(Control-Flow Integrity)和西安电子科技大学等研究机构提出的Fine-CFI系统，通过对程序的控制数据提供保护，使其免受攻击者基于控制流篡改的攻击。
但是，业界对程序非控制数据的保护却没有提出足够有效的防御技术，而攻击者同样可以通过篡改程序的非控制数据实施攻击。非控制数据，即non-control data，非控制数据是程序中一种区别于控制数据的关键数据结构，比如用户身份信息、用户配置信息、程序分支信息数据等。如果程序中的非控制数据被篡改，也会导致非常严重的问题，比如使得攻击者获得更高的权限(例如Linux系统下的root权限)，窃取用户隐私数据，开启后门漏洞等，因此必须对程序中的非控制数据进行保护。现有的非控制数据保护技术，大多针对32位应用程序，比如微软公司提出的Data-flow Integrity[Castro et al.,USENIX OSDI2006]和Write Integrity Testing[Akritidis et al.,IEEE S&P 2008]，而且由于其采用的指针分析方法精确性不足，导致分析结果可能存在部分错误，从而影响保护的效果。同时，大多数现存的非控制数据保护技术都是针对程序的整个虚拟地址空间提供保护，可移植性差，性能开销也比较大。
发明内容
本发明的目的在于针对上述现有技术中的问题，提供一种基于LLVM编译器的程序非控制数据攻击防护方法。它针对现今广泛应用的64位应用程序，将程序源代码编译成中间代码，通过对中间代码进行静态分析得到指向性分析结果，并且获得需要保护的非控制数据；同时，它在中间代码的基础上进行指令插桩，以保证程序的非控制数据不被恶意篡改。这种方法克服了原有静态分析方法的不足，提高了分析的精确程度，并且利用较低的空间和时间复杂度解决了攻击者对程序非控制数据恶意篡改所带来的安全威胁。
本发明是通过以下技术方案来实现：
一种基于LLVM编译器的程序非控制数据攻击防护方法，包括如下步骤：
(1)将程序源代码通过LLVM编译器编译成中间代码；
(2)通过对中间代码进行指针分析，得到程序中数据对象的指针别名分析结果；
(3)确定程序的内存空间布局，得到程序的data/bss段的空间地址范围；
(4)遍历整个程序，通过对中间代码的分析，判断数据对象是否属于程序的data/bss段，并结合指针别名分析结果，得到每条指令能够写入的数据对象集合；
(5)为每条store指令及其能够写入的数据对象集合分配标识符；
(6)利用步骤(3)中得到的data/bss段的空间地址范围，创建标识符表，同时对程序中间代码进行插桩，将标识符填入标识符表中，同时进行数据写入检查，若发生非控制数据篡改攻击，则抛出异常，否则，正常运行程序。
优选的，步骤(1)中，具体是通过指令Clang-emit-llvm filename.c-S-ofilename.ll和Clang-emit-llvm-c filename.c-o filename.bc编译出程序的中间代码。
优选的，步骤(2)具体包括如下步骤：
(2.1)实现指针分析算法；
(2.2)将步骤(2.1)的指针分析算法放在LLVM源代码目录下，并书写与指针分析算法相关的CMakeLists和Makefile文件，CMakeLists和Makefile文件定义了编译过程中的规则；
(2.3)修改LLVM源代码：将指针分析算法的文件目录写入LLVM源代码文件的CMakeLists文件中；
(2.4)编译修改后的LLVM源代码，生成能够调用的指针分析动态链接库文件；
(2.5)执行如下命令：llvm compile directory/opt-load pass directory/LLVMAndersenPA.so-andpa filename.bc-o program.out，获得程序中数据对象的指针别名分析结果。
进一步的，步骤(2.1)中，改进Andersen指针分析算法，形成字段敏感的指针分析算法；具体过程为：
(2.1.1)使用<o,f,sf>来表示一个指针指向目标的位置，其中，o表示所在数据对象的名字，f表示偏移量，sf表示指针指向目标的结束位置；
(2.1.2)约束生成：在约束生成的过程中，遍历程序每一条指令，并按照Andersen算法提出的约束规则为其生成相应约束，将整个程序系统转化为一个约束集合，将整个程序表示为一个约束图；
(2.1.3)约束求解：约束求解的输入为初始约束图，输出为求解之后的约束图，该过程分为两步：处理复杂约束和传递指向集；处理复杂约束的过程是向约束图中添加新边，导致新的指向集传递过程，指向集的更新导致工作集的更新，从而进入下一次的迭代过程；
(2.1.4)指向性结果获得：约束求解后，得到一个完整的指向图，将指向图转化为指向分析的结果。
优选的，步骤(4)具体包括如下步骤：
(4.1)修改/llvm/lib/Transforms/Hello/下的Hello.cpp文件，生成用于store指令分析的动态链接库文件，从而得到store指令分析结果；
(4.2)编译LLVM源代码，并执行如下命令：llvm compile directory/opt-loadpass directory/Hello.so-hello-filename.bc-o program2.out，得到每条store指令能够写入的数据对象集合；
(4.3)结合指针别名分析结果，将指针别名分析结果与store指令分析结果进行合并，并将最后结果写入文件之中。
进一步的，步骤(4.1)具体过程为：
(4.1.1)标记每一条store指令，给每一条store指令分配一个标识符；
(4.1.2)遍历程序每一条指令，如果该指令是store指令，调用getOperand()函数判断指令的操作数，如果是变量，则跳转至4.1.3；如果是指针则跳转至4.1.4，否则继续下一条指令的判断；
(4.1.3)判断操作数是否属于程序的data/bss段，如果是则将其放入一个链表中，跳转到4.1.2；
(4.1.4)针对指针进行指针回溯，直到找到变量，否则回溯到内存分配指令，终止循环，将本条store指令能够写入的数据对象集合输出并跳转到4.1.2。
优选的，步骤(5)中，使用一个或者两个字节作为标识符。
优选的，步骤(6)具体包括如下步骤：
(6.1)基于LLVM编译器进行指令转换；
(6.2)向LLVM源代码导出的头文件中添加步骤6.1中所实现方法的声明；
(6.3)修改LLVM源代码中与机器架构相关的转换代码，实现汇编指令到二进制代码的转换；
(6.4)编译LLVM源代码，然后用编译好的LLVM编译程序，输出结果。
进一步的，步骤(6.1)具体包括如下步骤：
(6.1.1)在LLVM编译器后端的机器指令生成阶段，LLVM编译器取得程序中间表示IR指令集合中的一条指令I；
(6.1.2)判断指令I的类型，如果I是store指令，则执行步骤(6.1.3)；如果I是全局变量的声明指令，则执行步骤(6.1.4)；否则执行步骤(6.1.5)；
(6.1.3)对store指令I进行如下转换：
(6.1.3a)在指令I前插入指令“leaq tar_add,％r11”，其中tar_add是store指令要写入的目标地址，r11为寄存器；
(6.1.3b)在指令I前插入指令“shrq$0x3,％r11”；
(6.1.3c)在指令I前插入指令“cmpb$0x3,IDT_Base(,％r11,)”；IDT_Base是标识符表的基地址，3代表该store指令的标识符；
(6.1.3d)取得指令I的下一条指令的地址dst；
(6.1.3e)在指令I前插入指令“je dst”；
(6.1.3f)在指令I前插入指令“jmg ErrHandler”，其中ErrHandler为系统中定义的错误处理例程；
(6.1.3g)跳转到步骤(6.1.5)；
(6.1.4)对全局变量的声明指令I进行如下转换：
(6.1.4a)在指令I前插入指令“push％r11”；
(6.1.4b)在指令I前插入指令“leaq obj_add,％r11”，obj_add代表数据对象的地址；
(6.1.4c)在指令I前插入指令“shrq$0x3,％r11”；
(6.1.4d)在指令I前插入指令“movw$0x3,IDT_Base(,％r11)”；
(6.1.4e)在指令I前插入指令“pop％r11”；
(6.1.4f)跳转到步骤(6.1.5)；
(6.1.5)如果程序中间表示IR指令集中还有未处理的指令，返回步骤(6.1.2)，开始下一条指令的处理；否则结束指令插桩；
(6.1.6)修改LLVM源代码/lib/CodeGen/目录下的CmakeLists.txt及Pass.cpp文件，以实现将6.1.1中算法编译到LLVM源代码当中；同时修改/lib/IR/目录下Instructions.cpp文件，实现中间代码指令的创建。
进一步的，步骤(6.3)具体包括如下步骤：
(6.3.1)开辟出一段内存，用于存放变量所对应内存的标识符，称为标识符表IDTable，并找到其空间起始地址；
(6.3.2)通过llvm-mc-show-inst命令将所需插桩的汇编指令转换为MC指令，在LLVM编译的过程中，LLVM编译器将MC指令转变为相应的二进制代码；
(6.3.3)修改lib/Target/X86/目录下的X86MCInstLower.cpp文件，将上述MC指令插入到相应位置；
(6.3.4)将标识符表设置为只读。
与现有技术相比，本发明具有以下有益的技术效果：
本发明所述的基于LLVM编译器的程序非控制数据攻击防护方法，针对现今广泛应用的64位应用程序，将程序源代码编译成中间代码，通过对中间代码进行静态分析得到指向性分析结果，并且获得需要保护的非控制数据；同时，它在中间代码的基础上进行指令插桩，以保证程序的非控制数据不被恶意篡改。这种方法克服了原有静态分析方法的不足，提高了分析的精确程度，并且利用较低的空间和时间复杂度解决了攻击者对程序非控制数据恶意篡改所带来的安全威胁。由于64位应用程序虚拟地址空间较大，现有技术大多针对32位应用程序上，本发明将数据完整性保护技术有效的实现在64位应用程序之上，为应用程序中的所有全局变量提供保护，有效防御了相关攻击。本发明利用数据完整性保护技术实现了对程序非控制数据攻击的有效保护；本发明基于LLVM编译器修改技术，在程序的中间代码层进行分析以及指令插桩操作，不会影响源程序的运行流程，更加符合实际应用的需求；
进一步的，在字段非敏感的指针分析过程中，将一个对象所包含的所有字段数据笼统设置为同一个内存位置，这会导致指针分析结果不精确。本发明在进行指向目标对象表示时，使用一种新的方式表示用来实现字段敏感的指针分析，即使用<o,f,sf>来表示一个指针指向目标的位置，即本发明在指针分析阶段采用了更加精确的字段敏感的指针分析技术，提高了分析的准确度，有效提高了后续处理过程的精确度。
进一步的，为了减少对程序非控制数据保护带来的性能损耗，本发明利用程序内存8字节对齐的特性，可以高效的实现对程序非控制数据的保护。
附图说明
图1是本发明的总流程图；
图2是本发明的基于编译器的指令转换子流程图；
图3是本发明的指针分析与中间代码分析的子流程图；
图4是本发明的指令转换具体实现图。
具体实施方式
下面结合具体的实施例对本发明做进一步的详细说明，所述是对本发明的解释而不是限定。
本发明是基于这样一种观测而提出的：无论哪种类型针对数据篡改的攻击，它们想要篡改数据，必须要通过非安全的数据写入操作，如果能将所有的数据写入操作进行保护，就可以从根本上抵御针对数据篡改的攻击。
本发明的核心思想是设计并实现了一种针对非控制数据的写入保护技术。该机制为每个数据写入指令分配一个标识符，同时在程序编译阶段，为程序data/bss段的数据分配标识符，形成一个标识符表；通过基于编译器的指令转换，程序在进行数据写入时，不直接写入，而是首先通过对比写入指令与写入对象的标识符，如果标识符相同则安全写入，如果不相同，则抛出异常。程序通过对标识符表的保护，比如将它们设置为只读，就提供了对数据段标识符表的保护。本发明使得攻击者无法完成实施攻击的第二步，即它需要改写系统中的某个非控制数据来达到攻击目的，比如提权，从而达到防御的目的。
参照图1，本发明主要包括基于编译器的指针分析以及指令转换两部分。其中基于编译器的指令转换主要包括store指令以及程序data/bss段数据声明相关指令的转换，指令转换完成后进行程序编译等工作。本发明总体流程图如图1所示，其主要步骤如下：
步骤一、将程序源代码通过LLVM编译器编译成中间代码，用于后续指针分析以及进行指令插桩操作。
通过指令Clang-emit-llvm filename.c-S-o filename.ll和Clang-emit-llvm-cfilename.c-o filename.bc编译出程序的中间代码，其中.ll文件是可读的中间代码文件，.bc文件是字节码文件，本发明的静态分析以及指令插桩都是基于字节码文件。
步骤二、通过对中间代码进行指针分析，得到程序中数据对象的指针别名分析结果，如图3所示。具体包括：
(2.1)改进Andersen指针分析算法：在Andersen指针分析算法的基础上，实现一种字段敏感的指针分析算法；
(2.1.1)在字段非敏感的指针分析过程中，将一个对象所包含的所有字段数据笼统设置为同一个内存位置，这会导致指针分析结果不精确。本发明在进行指向目标对象表示时，使用一种新的方式表示用来实现字段敏感的指针分析，即使用<o,f,sf>来表示一个指针指向目标的位置，其中o表示所在数据对象的名字，f表示偏移量，sf表示指针指向目标的结束位置，然后利用Andersen指针分析算法思想，实现一个字节敏感的指针分析算法；
(2.1.2)约束生成：在约束生成的过程中，遍历程序每一条指令，并按照Andersen算法提出的约束规则为其生成相应约束，将整个程序系统转化为一个约束集合，最后整个程序会被表示为一个约束图；
(2.1.3)约束求解：约束求解的输入为初始约束图，输出为求解之后的约束图，该过程主要分为两步：处理复杂约束和传递指向集；约束求解算法是使用基于工作集的迭代求解方法，处理复杂约束的过程就是向约束图中添加新边，这就会导致新的指向集传递过程，指向集的更新会导致工作集的更新，从而进入下一次的迭代过程；
(2.1.4)指向性结果获得：在进行完处理复杂约束和传递指向集两个过程后，会得到一个完整的指向图，将指向图转化为指向分析的结果；
(2.2)将步骤(2.1)中指针分析算法放在LLVM源代码目录下，并书写与指针分析算法相关的CMakeLists和Makefile文件，CMakeLists和Makefile文件是定义了编译过程中的规则，使指针分析算法可以正常编译；
(2.3)修改LLVM源代码文件中的CMakeLists文件：将指针分析算法的文件目录写入LLVM源代码文件中的CMakeLists文件中，以保证在LLVM编译过程中可以生成对应的动态链接库文件；
(2.4)执行make llvm-build命令，编译修改过后的LLVM源代码，生成可调用的指针分析动态链接库文件；
(2.5)执行如下命令：llvm compile directory/opt-load pass directory/LLVMAndersenPA.so-andpa filename.bc-o program.out，程序中数据对象的指针别名分析结果，opt命令是模块化的LLVM优化器和分析器，使用opt把代码编译为一个共享库并对其进行加载。
步骤三、确定程序的内存空间布局，得到程序的data/bss段的空间地址范围，用于之后根据空间地址范围创建标识符表；
通过“readelf-S program”命令显示程序所使用的内存以及输出进程内存的状况，并找到程序的data/bss段，确定其内存地址范围。
步骤四、遍历整个程序，通过对中间代码的分析，判断数据对象是否属于程序的data/bss段，并结合指针别名分析结果，得到每条指令可以写入的数据对象集合；如图3所示。
(4.1)修改/llvm/lib/Transforms/Hello/下的Hello.cpp文件，生成用于store指令分析的动态链接库文件，从而得到store指令分析结果；
(4.1.1)标记每一条store指令，给每一条store指令分配一个标识符。
(4.1.2)遍历程序每一条指令，如果该指令是store指令，调用getOperand()函数判断指令的操作数，如果是变量，则跳转至4.1.3；如果是指针则跳转至4.1.4，否则继续下一条指令的判断。
(4.1.3)判断操作数是否属于程序的data/bss段，如果是则将其放入一个链表中，跳转到4.1.2。
(4.1.4)针对指针进行指针回溯，直到找到变量，否则回溯到内存分配指令，终止循环，将本条store指令可以写入的数据对象集合输出并跳转到4.1.2。
(4.2)编译LLVM源代码；并用步骤(2.5)中所用方法得到每条指令可以写入的对象的集合，即，执行如下命令：llvm compile directory/opt-load pass directory/Hello.so-hello filename.bc-o program2.out，得到每条store指令能够写入的数据对象集合。
(4.3)结合指针别名分析结果，将指针别名分析结果与store指令分析结果进行合并，并将最后结果写入文件之中。
步骤五、为每条store指令及其可以写入的数据对象集合分配标识符。
由于程序中内存写入指令所占比例较小，而且对于64位应用程序，内存是8字节对齐的，同时由于本发明是针对于程序的data/bss段提供保护，所以本发明使用一个字节作为程序的标识符，这样本发明的空间的复杂度就只有原来的12.5％，如果程序较为庞杂，可以使用两个字节作为程序的标识符，这样空间的复杂度就只有原来的25％。
步骤六、利用步骤三中得到的data/bss段的空间地址范围，创建标识符表，同时对程序中间代码进行插桩，将标识符填入标识符表中，同时进行数据写入检查，若发生非控制数据篡改攻击，则抛出异常，否则，正常运行程序。
在/lib/CodeGen/目录下增加一个新的文件，用于处理指令识别以及在中间代码中插桩，由于程序data/bss段的变量在编译过程中就可以确定其空间地址，所以对变量的标识符分配只需要找到其声明位置即可。
(6.1)基于LLVM编译器的指令转换步骤，如图2所示。
(6.1.1)在LLVM编译器后端的机器指令生成阶段，LLVM编译器取得程序中间表示IR指令集合中的一条指令I；
(6.1.2)判断指令I的类型，如果I是store指令，则执行步骤(6.1.3)；如果I是全局变量的声明指令，则执行步骤(6.1.4)；否则执行步骤(6.1.5)；
(6.1.3)对store指令I进行如下转换，如图4所示：
(6.1.3a)在指令I前插入指令“leaq tar_add,％r11”，其中tar_add是store指令写入的目标地址，r11为寄存器；该lea指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；
(6.1.3b)在指令I前插入指令“shrq$0x3,％r11”；该shrq指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；该shr指令的作用是通过将寄存器里的值右移3位，即除以8而转换成标识符表的偏移；
(6.1.3c)在指令I前插入指令“cmpb$0x3,IDT_Base(,％r11,)”；IDT_Base是标识符表的基地址，3代表着该store指令的标识符；该cmpb指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；
(6.1.3d)取得指令I的下一条指令的地址dst；
(6.1.3e)在指令I前插入指令“je dst”；
(6.1.3f)在指令I前插入指令“jmg ErrHandler”，其中ErrHandler为系统中定义的错误处理例程；
(6.1.3g)跳转到步骤(6.1.5)；
上述步骤(6.1.3c)-(6.1.3f)是为了判断store指令与其要写入的目标地址的标识符是否相同。如果两者的标识符相同，则表明此次写入是安全的，程序将按顺序执行下一条语句，如果不相同，系统将跳转到错误处理例程ErrHandler，这是保证store指令必须写入正确的地址；
(6.1.4)对全局变量的声明指令I进行如下转换，如图4所示：
(6.1.4a)在指令I前插入指令“push％r11”；
(6.1.4b)在指令I前插入指令“leaq obj_add,％r11”,obj_add代表对象的地址；该lea指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；
(6.1.4c)在指令I前插入指令“shrq$0x3,％r11”；该shrq指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；该shr指令的作用是通过将寄存器里的值右移3位，即除以8而转换成标识符表的偏移；
(6.1.4d)在指令I前插入指令“movw$0x3,IDT_Base(,％r11)”；该mov指令是按照Intel硬件平台AT&格式书写的，源操作数放在前面，目的操作数放在后面，其他硬件平台的汇编指令格式类似；
(6.1.4e)在指令I前插入指令“pop％r11”；
(6.1.4f)跳转到步骤(6.1.5)；
(6.1.5)如果程序中间表示IR指令集中还有未处理的指令，返回步骤(6.1.2)，开始下一条指令的处理；否则结束指令插桩；
(6.1.6)修改LLVM源代码/lib/CodeGen/目录下的CmakeLists.txt及Pass.cpp文件，以实现将6.1.1中算法编译到LLVM源代码当中；同时修改/lib/IR/目录下Instructions.cpp文件，来具体的实现中间代码指令的创建。
(6.2)修改LLVM源代码中导出的头文件：向LLVM源代码导出的头文件中添加步骤6.1中所实现方法的声明，其中主要包括在步骤6.1.2中所实现方法的声明。
(6.3)修改LLVM源代码中与机器架构相关的转换代码，实现汇编指令到二进制代码的转换。
(6.3.1)开辟出一段内存用于存放变量所对应内存的标识符，称为标识符表IDTable，并找到其空间起始地址。
(6.3.2)通过llvm-mc-show-inst命令将所需插桩的汇编指令转换为MC指令，在LLVM编译的过程中，LLVM编译器会将MC指令转变为相应的二进制代码。
(6.3.3)修改lib/Target/X86/目录下的X86MCInstLower.cpp文件，将上述MC指令插入到相应位置；
(6.3.4)将标识符表设置为只读。
标识符表是存放变量标识符的表格，将标识符设置为只读，可以防止攻击者对标识符表的篡改，从而保证了数据的安全性。
(6.4)重新编译LLVM源代码，然后用编译好的LLVM编译程序，并验证此发明的有效性与高效性。
本发明的功能效果可以通过以下实验进一步说明：
1)实验条件
本发明是以LLVM(Low Level Virtual Machine)编译器为基础实现的。本发明利用LLVM编译器来完成一个针对FTP服务器程序进行指令转换以及攻击防护的实验。PC机为惠普Pro3380MT台式机，操作系统为Ubuntu14.04，CPU为Intel(R)Core(TM)i5-3470，内存为8GB。
2)实验内容
针对一个存在漏洞的FTP服务器，首先对其进行攻击，获得相应的权限，然后将本发明应用到该应用程序上，其中包括程序内存布局分析、改编后的LLVM进行编译等操作，当再次运行程序并对其进行攻击时，程序会抛出异常，并进入中断状态，说明本发明成功地阻止了非控制数据攻击对数据的篡改。
3)结果分析
通过上述实验，在对程序进行静态分析的基础上，通过修改编译器源代码使得应用程序在编译过程中被插桩了指令，应用程序在运行后，可以动态的检测到攻击的发生，并且在攻击发生时抛出异常。由此实验结果可知，本发明针对非控制数据防护措施的研究达到了预期目标。
Claims (4)
1.一种基于LLVM编译器的程序非控制数据攻击防护方法，其特征在于，包括如下步骤：
(1)将程序源代码通过LLVM编译器编译成中间代码；
(2)通过对中间代码进行指针分析，得到程序中数据对象的指针别名分析结果；
(3)确定程序的内存空间布局，得到程序的data/bss段的空间地址范围；
(4)遍历整个程序，通过对中间代码的分析，判断数据对象是否属于程序的data/bss段，并结合指针别名分析结果，得到每条指令能够写入的数据对象集合；
(5)为每条store指令及其能够写入的数据对象集合分配标识符；
(6)利用步骤(3)中得到的data/bss段的空间地址范围，创建标识符表，同时对程序中间代码进行插桩，将标识符填入标识符表中，同时进行数据写入检查，若发生非控制数据篡改攻击，则抛出异常，否则，正常运行程序；
步骤(2)具体包括如下步骤：
(2.1)实现指针分析算法；
(2.2)将步骤(2.1)的指针分析算法放在LLVM源代码目录下，并书写与指针分析算法相关的CMakeLists和Makefile文件，CMakeLists和Makefile文件定义了编译过程中的规则；
(2.3)修改LLVM源代码：将指针分析算法的文件目录写入LLVM源代码文件的CMakeLists文件中；
(2.4)编译修改后的LLVM源代码，生成能够调用的指针分析动态链接库文件；
(2.5)执行如下命令：llvm compile directory/opt-load pass directory/LLVMAndersenPA.so-andpa filename.bc-o program.out，获得程序中数据对象的指针别名分析结果；
步骤(2.1)中，改进Andersen指针分析算法，形成字段敏感的指针分析算法；具体过程为：
(2.1.1)使用<o,f,sf>来表示一个指针指向目标的位置，其中，o表示所在数据对象的名字，f表示偏移量，sf表示指针指向目标的结束位置；
(2.1.2)约束生成：在约束生成的过程中，遍历程序每一条指令，并按照Andersen算法提出的约束规则为其生成相应约束，将整个程序系统转化为一个约束集合，将整个程序表示为一个约束图；
(2.1.3)约束求解：约束求解的输入为初始约束图，输出为求解之后的约束图，该过程分为两步：处理复杂约束和传递指向集；处理复杂约束的过程是向约束图中添加新边，导致新的指向集传递过程，指向集的更新导致工作集的更新，从而进入下一次的迭代过程；
(2.1.4)指向性结果获得：约束求解后，得到一个完整的指向图，将指向图转化为指向分析的结果：
步骤(5)中，使用一个或者两个字节作为标识符；
步骤(6)具体包括如下步骤：
(6.1)基于LLVM编译器进行指令转换；
(6.2)向LLVM源代码导出的头文件中添加步骤6.1中所实现方法的声明；
(6.3)修改LLVM源代码中与机器架构相关的转换代码，实现汇编指令到二进制代码的转换；
(6.4)编译LLVM源代码，然后用编译好的LLVM编译程序，输出结果；
步骤(6.1)具体包括如下步骤：
(6.1.1)在LLVM编译器后端的机器指令生成阶段，LLVM编译器取得程序中间表示IR指令集合中的一条指令I；
(6.1.2)判断指令I的类型，如果I是store指令，则执行步骤(6.1.3)；如果I是全局变量的声明指令，则执行步骤(6.1.4)；否则执行步骤(6.1.5)；
(6.1.3)对store指令I进行如下转换：
(6.1.3a)在指令I前插入指令“leaq tar_add,％r11”，其中tar_add是store指令要写入的目标地址，r11为寄存器；
(6.1.3b)在指令I前插入指令“shrq$0x3,％r11”；
(6.1.3c)在指令I前插入指令“cmpb$0x3,IDT_Base(,％r11,)”；IDT_Base是标识符表的基地址，3代表该store指令的标识符；
(6.1.3d)取得指令I的下一条指令的地址dst；
(6.1.3e)在指令I前插入指令“je dst”；
(6.1.3f)在指令I前插入指令“jmg ErrHandler”，其中ErrHandler为系统中定义的错误处理例程；
(6.1.3g)跳转到步骤(6.1.5)；
(6.1.4)对全局变量的声明指令I进行如下转换：
(6.1.4a)在指令I前插入指令“push％r11”；
(6.1.4b)在指令I前插入指令“leaq obj_add,％r11”，obj_add代表数据对象的地址；
(6.1.4c)在指令I前插入指令“shrq$0x3,％r11”；
(6.1.4d)在指令I前插入指令“movw$0x3,IDT_Base(,％r11)”；
(6.1.4e)在指令I前插入指令“pop％r11”；
(6.1.4f)跳转到步骤(6.1.5)；
(6.1.5)如果程序中间表示IR指令集中还有未处理的指令，返回步骤(6.1.2)，开始下一条指令的处理；否则结束指令插桩；
(6.1.6)修改LLVM源代码/lib/CodeGen/目录下的CmakeLists.txt及Pass.cpp文件，以实现将6.1.1中算法编译到LLVM源代码当中；同时修改/lib/IR/目录下Instructions.cpp文件，实现中间代码指令的创建；
步骤(6.3)具体包括如下步骤：
(6.3.1)开辟出一段内存，用于存放变量所对应内存的标识符，称为标识符表IDTable，并找到其空间起始地址；
(6.3.2)通过llvm-mc-show-inst命令将所需插桩的汇编指令转换为MC指令，在LLVM编译的过程中，LLVM编译器将MC指令转变为相应的二进制代码；
(6.3.3)修改lib/Target/X86/目录下的X86MCInstLower.cpp文件，将上述MC指令插入到相应位置；
(6.3.4)将标识符表设置为只读。
2.根据权利要求1所述的基于LLVM编译器的程序非控制数据攻击防护方法，其特征在于，步骤(1)中，具体是通过指令Clang-emit-llvm filename.c-S-o filename.ll和Clang-emit-llvm-c filename.c-o filename.bc编译出程序的中间代码。
3.根据权利要求1所述的基于LLVM编译器的程序非控制数据攻击防护方法，其特征在于，步骤(4)具体包括如下步骤：
(4.1)修改/llvm/lib/Transforms/Hello/下的Hello.cpp文件，生成用于store指令分析的动态链接库文件，从而得到store指令分析结果；
(4.2)编译LLVM源代码，并执行如下命令：llvm compile directory/opt-load passdirectory/Hello.so-hello filename.bc-o program2.out，得到每条store指令能够写入的数据对象集合；
(4.3)结合指针别名分析结果，将指针别名分析结果与store指令分析结果进行合并，并将最后结果写入文件之中。
4.根据权利要求3所述的基于LLVM编译器的程序非控制数据攻击防护方法，其特征在于，步骤(4.1)具体过程为：
(4.1.1)标记每一条store指令，给每一条store指令分配一个标识符；
(4.1.2)遍历程序每一条指令，如果该指令是store指令，调用getOperand()函数判断指令的操作数，如果是变量，则跳转至4.1.3；如果是指针则跳转至4.1.4，否则继续下一条指令的判断；
(4.1.3)判断操作数是否属于程序的data/bss段，如果是则将其放入一个链表中，跳转到4.1.2；
(4.1.4)针对指针进行指针回溯，直到找到变量，否则回溯到内存分配指令，终止循环，将本条store指令能够写入的数据对象集合输出并跳转到4.1.2。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910168434.5A CN109918903B (zh) | 2019-03-06 | 2019-03-06 | 一种基于llvm编译器的程序非控制数据攻击防护方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910168434.5A CN109918903B (zh) | 2019-03-06 | 2019-03-06 | 一种基于llvm编译器的程序非控制数据攻击防护方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN109918903A CN109918903A (zh) | 2019-06-21 |
| CN109918903B true CN109918903B (zh) | 2022-06-21 |
Family
ID=66963598
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910168434.5A Active CN109918903B (zh) | 2019-03-06 | 2019-03-06 | 一种基于llvm编译器的程序非控制数据攻击防护方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN109918903B (zh) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN110717181B (zh) * | 2019-09-09 | 2021-07-02 | 中国人民解放军战略支援部队信息工程大学 | 基于新型程序依赖图的非控制数据攻击检测方法及装置 |
| CN111027059B (zh) * | 2019-11-29 | 2022-07-19 | 武汉大学 | 一种基于llvm的抵御内存泄露的系统及方法 |
| CN111460516B (zh) * | 2020-06-22 | 2020-09-29 | 腾讯科技（深圳）有限公司 | 基于非侵入式的数据保护方法、装置、终端及存储介质 |
| CN111881485B (zh) * | 2020-07-14 | 2022-04-05 | 浙江大学 | 一种基于arm指针验证的内核敏感数据完整性保护方法 |
| CN112528240B (zh) * | 2020-12-02 | 2022-08-09 | 上海交通大学 | 面向密码代码的自动化程序敏感数据保护方法 |
| CN112947931B (zh) * | 2021-02-22 | 2023-10-03 | 武汉大学 | 基于相变存储器的循环转数组的损耗均衡编译方法 |
| CN112966258B (zh) * | 2021-03-22 | 2022-12-30 | 西安电子科技大学 | 控制流完整性保护方法、系统、装置及可读存储介质 |
| US11662989B2 (en) * | 2021-06-16 | 2023-05-30 | International Business Machines Corporation | Pointer alignment computation in program code according to code pattern analyses |
| CN113835952B (zh) * | 2021-09-02 | 2024-03-15 | 中国人民解放军63891部队 | 基于编译器代码注入的Linux系统调用监控方法 |
| CN114036072B (zh) * | 2022-01-06 | 2022-04-08 | 湖南泛联新安信息科技有限公司 | 一种支持自动化检测程序缺陷的方法和系统 |
| CN114327789B (zh) * | 2022-01-07 | 2024-05-17 | 北京大学 | 一种基于llvm的虚拟机保护方法及系统 |
| CN115826946B (zh) * | 2023-02-17 | 2023-05-12 | 苏州浪潮智能科技有限公司 | 一种程序异常向量空间优化系统、方法、设备及介质 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106295258A (zh) * | 2016-08-04 | 2017-01-04 | 南京大学 | 用于多线程后向控制流完整性保护的影子栈实现方法 |
| CN107545174A (zh) * | 2017-08-22 | 2018-01-05 | 武汉大学 | 一种基于llvm的抵御控制流劫持的系统和方法 |
| CN109426615A (zh) * | 2017-09-01 | 2019-03-05 | 深圳市源伞新科技有限公司 | 过程间的空指针解引用检测方法、系统、设备以及介质 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10545739B2 (en) * | 2016-04-05 | 2020-01-28 | International Business Machines Corporation | LLVM-based system C compiler for architecture synthesis |
-
2019
- 2019-03-06 CN CN201910168434.5A patent/CN109918903B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106295258A (zh) * | 2016-08-04 | 2017-01-04 | 南京大学 | 用于多线程后向控制流完整性保护的影子栈实现方法 |
| CN107545174A (zh) * | 2017-08-22 | 2018-01-05 | 武汉大学 | 一种基于llvm的抵御控制流劫持的系统和方法 |
| CN109426615A (zh) * | 2017-09-01 | 2019-03-05 | 深圳市源伞新科技有限公司 | 过程间的空指针解引用检测方法、系统、设备以及介质 |
Non-Patent Citations (4)
| Title |
|---|
| Hierarchical Read/Write Analysis for Pointer-Based OpenCL Programs on RRAM;Lin-Ya Yu;《2017 46th International Conference on Parallel Processing Workshops (ICPPW)》;20170907;全文 * |
| 一种针对非控制数据攻击的改进防御方法;刘小龙等;《计算机应用研究》;20131231;第30卷(第12期);第3762-3766页 * |
| 基于LLVM框架的非控制数据保护;沈达宇;《中国优秀硕士学位论文全文数据库（电子期刊）》;20121015;I138-1589 * |
| 基于LLVM的栈数据保护;沈达宇等;《软件导刊》;20120831;第11卷(第08期);第129-132页 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN109918903A (zh) | 2019-06-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109918903B (zh) | 一种基于llvm编译器的程序非控制数据攻击防护方法 | |
| Wang et al. | TaintScope: A checksum-aware directed fuzzing tool for automatic software vulnerability detection | |
| US7739737B2 (en) | Method and apparatus to detect malicious software | |
| EP3746921B1 (en) | Systems and methods for policy linking and/or loading for secure initialization | |
| CN111597109B (zh) | 一种跨架构固件堆内存的缺陷检测方法及系统 | |
| US20020056076A1 (en) | Analytical virtual machine | |
| KR20090033228A (ko) | 데이터 흐름 보전의 실시에 의한 소프트웨어 보호 방법 | |
| Miller et al. | Crash analysis with BitBlaze | |
| Saito et al. | A survey of prevention/mitigation against memory corruption attacks | |
| Cai et al. | SwordDTA: A dynamic taint analysis tool for software vulnerability detection | |
| Nagarajan et al. | Dynamic information flow tracking on multicores | |
| Cloosters et al. | {SGXFuzz}: Efficiently synthesizing nested structures for {SGX} enclave fuzzing | |
| Richardson | Complete spatial safety for C and C++ using CHERI capabilities | |
| Gil et al. | There's a Hole in the Bottom of the C: On the Effectiveness of Allocation Protection | |
| Ferguson | Reverse engineering code with IDA Pro | |
| Kan et al. | Sdft: A pdg-based summarization for efficient dynamic data flow tracking | |
| Gao et al. | A comprehensive detection of memory corruption vulnerabilities for C/C++ programs | |
| Jurczyk | Detecting kernel memory disclosure with x86 emulation and taint tracking | |
| CN114266036A (zh) | 一种基于Intel CET机制的保护通用内存完整性的方法 | |
| Hiser et al. | Meds: The memory error detection system | |
| KR20230063250A (ko) | 웹 어셈블리에서의 간접호출 명령어 보호를 위한 장치 및 방법 | |
| Zhu et al. | Dytaint: The implementation of a novel lightweight 3-state dynamic taint analysis framework for x86 binary programs | |
| Lin et al. | VMRe: A reverse framework of virtual machine protection packed binaries | |
| US20230418950A1 (en) | Methods, Devices, and Systems for Control Flow Integrity | |
| Peng | Forced Execution for Security Analysis of Software Without Source Code |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20220824 Address after: 29th Floor, Building 1, China Railway Xi'an Center, No. 10 Zhangba 1st Road, High-tech Zone, Xi'an City, Shaanxi Province 710065 Patentee after: Shaanxi shutuxing Information Technology Co.,Ltd. Address before: 710071 No.2, Taibai South Road, Beilin District, Xi'an City, Shaanxi Province Patentee before: XIDIAN University |