CN101872323A - 一种基于虚拟机的故障注入测试方法 - Google Patents

Abstract

本发明提出了一种利用虚拟机来提高软件故障注入测试性能的方法，本方法利用美国雪城大学的杜文亮(WENLIANG DU)提出的EAI模型，在应用程序和其环境的交互点注入故障以干扰环境来测试软件脆弱性，这样既能减小与真实故障的语义差异，又能减少测试例数量，同时将测试工具两个功能部分分别设置在虚拟机的主机和客户机实现，利用虚拟机和客户机之间的共享文件和虚拟机的备份恢复机制提高了测试工具的健壮性和灵活性。本方法生成的工具由(10)应用程序配置文件，(5)故障测试例生成器，(6)安全分析模块(7)图形用户界面，(9)环境恢复模块(11)故障注入器(12)数据收集器组成。其中(13)是被测试的软件。(14)(15)(16)为了共享测试涉及的数据的虚拟机共享内存辅助模块。本方法能够有效检测和模拟软件中的安全漏洞，提高软件安全性。

Description

一种基于虚拟机的故障注入测试方法

所属技术领域

本专利发明涉及一种故障注入软件安全测试方法，尤其是将虚拟技术引入故障注入测试方法。

背景技术

故障注入是将故障注入被测试应用程序中以观察其反应的技术，在攻击分析中主要用于检测在软件程序中可能导致安全漏洞的潜在脆弱点的位置。软件故障注入方法对目标系统的硬件环境没有损坏，能够方便地跟踪目标程序的执行和回收数据；细节模型的复杂程度低，减少系统开销，具有较好的可移植性。然而，目前研究的故障注入技术都是针对特殊应用的，而且由于故障注入测试工具与被测试系统在同一操作平台中，一旦系统崩溃，测试数据极易丢失，测试环境需要重新配置。

发明内容

为了解决目前的故障注入方法的通用性和灵活性以及在极端情况下故障注入工具的健壮性问题。本专利提出的基于虚拟机的故障注入软件脆弱性测试技术，旨在建立一种高效通用的故障注入方法，采用在应用程序和环境的交互层注入故障，以较少的故障实例真实模拟故障以检测应用程序的脆弱性，并且将故障监视器和故障注入引擎分别配置在虚拟机的主机和客户机部分，在节约资源的基础上增强了故障注入技术的健壮性和灵活性。

具体实施方式

故障注入脆弱性测试系统总体上按照C/S方式运行，故障监视器作为虚拟机主机中的应用程序(包括故障测试例生成器模块，故障库模块，安全分析模块和环境恢复模块)，它负责按照用户设置的参数生成故障实例，并将故障实例存入动态数据库，通过通信协议将故障实例传送给目标系统，同时还负责接受目标系统传送回来的测试状态数据，对数据进行分析来确定测试结果。目标系统是包含被测程序和故障注入测试引擎(包括配置文件，故障注入器，数据收集器各模块)的虚拟机客户操作系统，故障注入测试引擎负责静态扫描分析被测应用程序，按照设定规则设置故障注入断点，负责接收故障监视器传送来的故障注入实例，注入故障并且收集测试数据。通信协议负责故障和目标系统的有效信息传输，通信过程使用虚拟机特有的共享内存和事件通道机制来实现故障监视器和目标系统都可以访问的共享内存缓冲区。

1故障注入的关键技术基础

确定故障模型

故障模型是指在一定的层次上，对目标系统真实故障的抽象，一般用故障的公共属性来表征。系统通过软件的方法，根据故障模型在故障注入时刻实现对特定故障的模拟。我们使用5个属性来描述故障，即故障位置(LM)、故障类型(VM)、故障持续时间(DT)、故障注入时刻(VT)和系统状态。为了确定注入的故障类型，我们使用美国雪城大学(Syracuse University)杜文亮的方法，在应用程序和环境的交互层注入故障，认为大多数安全缺陷是由于程序与应用环境之间不合适的交互而造成。用户恶意干扰环境同样可以触发安全缺陷，故障被注入环境从而将其干扰。应用程序的代码和数据空间之外的任意元素叫做环境实体，例如：文件和网络环境可以被看作是环境实体。文件的访问权限、文件的存在性、文件的所有权、进程的真实用户id、进程的有效用户id等都是环境状态的不同部分，当然根据测试对象大小的不同，通常被认为是环境的实体，可能只是测试程序的内部变量或状态，因此环境和应用程序的区分是根据具体情况判断的。测试过程中在应用程序和环境交互点干扰应用环境以此观察程序的反应，同时判断在这种干扰的情况下被测试程序是否出现违反安全问题的行为。既然许多漏洞数据库都记录了攻击者利用漏洞的方式，我们将这些利用方式转变成环境故障并将其注入，而对于这些记录我们只做很少的分析。在应用程序和环境交互点注入故障而不是在程序状态层注入故障，这样一方面减少了故障注入的数量，一方面减少了实际使用系统而造成的与真实故障之间的语义差别。

按照环境故障影响应用程序的方式对环境故障进行分类。通过将故障传给应用程序内部变量影响应用程序的故障称为间接环境故障，根据间接环境故障的数据来源，间接环境故障进一步划分为：(1)用户输入(2)环境变量(3)文件系统输入(4)网络输入(5)进程输入，这五个分类是程序获得自己需要的输入的重要来源，如图表1所示。通过环境变量影响程序的环境故障称为直接环境故障，许多环境变量能够直接影响程序的行为，按照传统的操作系统归类的方法可以分为：(1)文件系统(2)进程(3)网络环境，如图表2所示，目前没有发现其他类型的环境变量造成应用的重大漏洞，因此我们不打算包括它们。

图表1间接环境故障列表举例

图表2直接环境故障列表举例

故障注入位置

故障注入函数被放置在静态扫描后发现的潜在漏洞处，也就是在可能产生直接环境故障和间接环境故障的程序交互点设置断点，而且这个过程也是自动完成的。这样在测试过程中，当遇到断点时查询注入函数，如果有和此位置相关的故障，则注入故障进行测试，否则继续运行。这样做是因为并不知道实际的漏洞位置，通过分析所有位置的影响就可标识出那些可能威胁到安全的位置。需要注意的是，在每次测试运行中程序状态仅被某个故障注入错误单独影响，这样做更便于评估在给定位置的单个漏洞的影响。

通信模块

通常的故障注入技术在一台机器上实现故障注入和故障监视功能，这样就存在安全性和完整性的问题：一是，如果测试过程中故障导致被测试程序所在系统产生了不可恢复的崩溃，这样重新布置测试环境将会很耗时，甚至会需要重复一些已经完成了的实验。二是，一旦系统崩溃我们不可能对导致崩溃产生的实际错误进行深入查看，而且故障注入后有时候需要的分析数据是复杂的，甚至是不确定的，这就需要记录尽可能的运行时系统状态，这对于传统的操作系统是个很消耗资源的任务。

虚拟机技术可以很好的解决上述问题，将故障监视功能放在具有特权功能的主机(如Xen虚拟机的Domain0域)中，故障监视器负责生成故障注入实例并保存到动态数据库，同时对从虚拟机客户机(如Xen虚拟机的DomainU域)收集来的测试数据进行分析。测试前主机对客户机系统进行简单备份，并且在运行过程中收集测试数据甚至是系统运行状态信息，这样一旦客户机系统崩溃，既不会损失系统崩溃时的测试数据，同时利用虚拟机的重载机制就能快速的对测试环境进行恢复。虚拟机的备份功能为记录尽可能多的虚拟机执行信息提供了方便，加以扩展的话还可以实现虚拟机的重放，为测试后的分析提供了更全面的调试和跟踪功能。

因此，通信模块在整个测试过程中具有非常关键的作用，利用虚拟机的共享内存和事件机制，传送要注入的故障实例，同时在目标程序的状态发生变化时，数据收集器通知主机内的故障监视器，然后将状态数据放入共享内存缓冲区中，故障监视器从中提取数据并保存到相应记录项中。

通信模块由共享日志缓冲区管理模块来实现，它分别在主机和客户机两个域的内核中。2故障注入技术的实现流程

故障注入技术的测试过程如下：

故障注入方法各模块的实现如下：

(1)配置文件

考虑到不同测试程序的参数和运行环境的差异性，在测试前我们采用手动方式来编写配置脚本，对测试程序的参数和环境进行配置。

(2)故障实例生成器

故障生成界面为用户提供了控制故障实例生成的接口。按照故障模型，设置该类故障所需参数即可生成故障。也可以选择使用故障库已有的注入故障，或者让此模块随机产生注入故障，从而实现系统的灵活性和重用性。

(3)故障库

故障库存储故障实例生成器产生的故障实例。为了提高数据库的利用率，建立动态数据库。动态数据库的故障实例删除原则是：(1)触发了错误和失效的故障实例；(2)多次检测对系统无任何影响；(3)与表中已存在的故障实例相同。

(4)共享日志缓冲区管理模块

该模块主要实现虚拟间的数据传输。该模块在两个域的内核中，是特权域和用户域基于共享日志缓冲区进行通信的协议栈，负责共享日志缓冲区的初始化及分配管理。不同的虚拟机间共享内存的方法不同，下面仅以电子科技大学的孟江涛关于Xen虚拟机主机与客户机间的共享内存方法为例说明。主要是在(主域)Domain0和(客户域)DomainU两个域间传递注入故障列表和测试数据，使用如下算法：

1)共享日志缓冲区管理模块用户域DomainU端算法

①DomainU内核中分配N个连续的物理页作为共享日志缓冲区，开始物理页号为P1，映射它们到DomainU内核连续的虚拟地址空间中，开始虚拟地址为VAu；

②通过用户域的控制环，向Domain0域发送“创建共享日志缓冲区”请求，请求中有Pl和物理页个数N；

③收到Domain0域发送的“创建共享日志缓冲区成功”应答，记录Domain0域的日志事件通道号LOG_CHANNEL；

④当DomainU的数据收集器记录测试程序的运行状态数据时，在共享日志缓冲区分配空间。如果有空间，则分配并记录日志；否则，调用超级调用HYPERVISOR_event_channel_op(NOTIFY，(Domain0，LOC_CHANNEL)置Domain0域的日志事件通道申请位，然后调用超级调用HYPERVISOR_sched_op(PAUSE)暂停用户域；

⑤当用户域被调度执行时，从暂停点继续执行被暂停的测试活动。

2)共享日志缓冲区管理模块Domain0端算法

①通过DomainU的控制环，收到用户域DomainU发送的“创建共享日志缓冲区”请求，请求中有P1和物理页个数N，映射这N个连续的物理页到Domain0内核连续的虚拟地址空间中，开始虚拟地址为VAO；调用超级调用HYPERVISOR_event_channel_op(ALLOCATE)为Domain0分配一个事件通道号LOG_CHANNEL，称之为日志事件通道；

②向用户域发送“创建共享日志缓冲区成功”应答，应答中有Domaln0域的日志事件通道号LOG_CHANNEL；

③调用超级调用HYPERVISOR_evnt_chanenl_op(BIND_PIRQ，LOG_CHANNEL)把日志事件通道号LOG_CHANNEL与Domain0域的某一空闲物理中断号绑定，返回值为IRQ_LOG，这意味着Xen的事件LOG_CHANNEL将被虚拟成Domain0域的物理中断IRQ_LOG；然后初始化IRQ_LOG中断向量，安装其中断服务程序；

④清Domain0内核“有日志”标志log_arrive_flag为0。

(5)故障注入器

采用类似于基于词法的静态扫描工具扫描分析测试程序，在可能产生应用程序和环境交互点的地方设置断点，改变中断处理入口地址，程序运行过程中通过故障查询语句动态注入故障库中的故障，并返回到中断点继续程序的执行，本次故障测试结束后恢复断点处的内容为正常内容。

(6)数据收集器

收集的数据以日志的形式存放，既要收集无故障运行时的数据作为标准，又要采集目标系统带故障时的运行数据。数据收集器需要收集的数据包括：故障注入前的系统虚拟内存、CPU寄存器、硬盘和内存(外部设备)的等系统状态以及故障注入实例、故障注入的断点位置、故障注入后的应用程序和系统状态。

Ptrace是GDB的基础调试工具，它提供了父进程观察和控制另一个进程执行的机制，同时提供查询和修改另一个进程的核心映像与寄存器的能力。主要用于执行断点调试和系统调用跟踪。在此我们主要使用ptrace系统调用来注入故障的和收集数据。这种方法的使用已有先例，如FERRARI就是采用这种方法在Unix系统中注入故障的。Ptrace()的系统调用格式如下：

#include<sys/ptrace.h>

Long ptrace(enum_ptrace_request request，pid_t pid，void*addr，void*data)

使用Ptrace注入故障和收集测试状态数据的算法如下：

(7)安全分析模块

从共享内存缓冲区读取故障注入器收集的测试数据，分析这些数据并且结合与正常运行时的状态数据进行比对来确定故障注入对被测程序的影响。

(8)环境恢复模块

测试前先对客户机进行简单备份，这对于虚拟机技术是很容易实现的，例如Xen虚拟机，整个客户操作系统在主机域中是以挂载文件块设备的形式存在，这就为客户操作系统的备份提供了便利。测试完成或者测试过程出现异常需要恢复测试系统时就可以使用Xen中的Restore功能简单快速实现。如果要恢复和回滚到特定的系统状态则需要系统日志的协助来记录运行时的系统状态，这需要故障注入器的扩展功能来实现。

之所以采用恢复和重放整个系统是因为：(1)运行注入故障的被测软件很可能产生异常，造成测试软件进入死循环或者系统崩溃，系统的恢复比重建测试软件和环境更加高效。(2)测试者对重放足够多的指令来确定bug的原因比较感兴趣。

附图说明

附图1是故障注入技术的总体框架图，其中功能(1)故障监视器包括(5)故障测试生成器，(6)安全分析模块，(7)图形用户界面，(8)故障数据库，(9)环境恢复模块5部分，功能(3)故障注入引擎包括(10)配置文件，(11)故障注入器，(12)数据收集器。

附图2是基于虚拟机的故障注入方法的实现结构图。

附图3是共享内存缓冲区的通信方式。

附图2中，(5)故障测试例生成器，(6)安全分析模块，(7)图形用户界面，(8)故障数据库，(9)环境恢复模块，(14)共享日志缓冲区管理6个模块作为虚拟机主机的应用程序而执行，(7)图形用户界面提供了用户和故障注入工具的交互途径，用户可以输入参数定制特殊的测试例，并且从界面查看测试结果。(10)配置文件，(11)故障注入器，(12)数据收集器，共3个模块作为虚拟机客户机的应用程序作用于(13)被测试软件.(14)主机域的共享内存缓冲区管理(15)共享内存缓冲区(16)客户域共享内存缓冲区管理3部分负责两个系统间的数据通信，既传送注入命令和故障测试实例，接收故障注入情况和测试收集到的数据。(17)虚拟机是虚拟机的底层实现，负责硬件和操作系统的中间层，(18)是实际的物理机器。理想情况下，可以有多台虚拟机客户域，这样主机就可以控制多台客户域同时进行测试，只是涉及的技术更复杂。

附图3中，(14)和(16)作为共享日志缓冲区的管理模块，分别管理虚拟机主机和客户机传送到缓冲区的数据，并负责从缓冲区接收数据传给相应模块。

综上所述，我们提出的基于虚拟机故障注入方法首先利用静态分析检测程序源码并在可能的故障点设置断点，在程序运行过程中动态注入故障，查看应用程序在注入故障的情况下的运行状况，分析系统状态，检测潜在的脆弱点。同时，此方法的创新在于将故障注入方法放入虚拟机环境中，将故障监视功能放在具有特权功能的主机(如Xen虚拟机的Domain0域)中，故障监视器负责生成故障注入实例并保存到动态数据库，同时对从虚拟机客户机(如Xen虚拟机的DomainU域)收集来的测试数据进行分析。测试前主机对客户机系统进行简单备份，并且在运行过程中收集测试数据甚至是系统运行状态信息，这样一旦客户机系统崩溃，既不会损失系统崩溃时的测试数据，同时利用虚拟机的重载机制就能快速的对测试环境进行恢复。虚拟机的备份功能为记录尽可能多的虚拟机执行信息提供了方便，加以扩展的话还可以实现虚拟机的重放，为测试后的分析提供了更全面的调试和跟踪功能。本测试方法在测试方法灵活性和测试工具的健壮性方面有了提高。

Claims (4)

1.一种基于虚拟机的故障注入方法，其特征是将故障注入的不同模块分别设置在虚拟机的主机和客户机中，并在两个操作系统间以共享文件的形式传输测试相关的数据。

2.根据权利要求1所述的故障注入方法，其特征是在虚拟机主机中的故障注入包括故障测试例生成器，安全分析模块，图形用户界面，故障数据库，环境恢复模块等功能模块，它们负责故障测试例的生成和测试结果的存储与安全分析。

3.根据权利要求1所述的故障注入方法，其特征是在虚拟机客户机中的故障注入包括配置文件，故障注入器，数据收集器，这3个模块作为虚拟机客户机的应用程序作用于被测试软件，它们负责针对不同的测试程序注入故障并且收集测试数据。

4.根据权利要求1所述的故障注入方法，其特征是使用虚拟机主机域和客户机域的文件共享机制和事件机制来传送测试时产生的数据，即传送注入命令和故障测试实例，接收故障注入情况和测试收集到的数据，由共享内存缓冲区客户域共享日志缓冲区管理和主机域共享日志缓冲区管理3部分组成。

Images