CN109714314A - 一种重现漏洞全生命周期的全息漏洞库的构建方法 - Google Patents

Abstract

本发明公开了一种重现漏洞全生命周期的全息漏洞库的构建方法，通过HOOK函数从Trace文件中确定出目标程序的漏洞位置；按设定的漏洞信息数据结构提取活动漏洞要素信息，并存入数据库中；从数据库中提取信息用于新建虚拟机；将挖掘任务目标和挖掘工具安装在虚拟机中，并执行挖掘任务，记录挖掘结果，并将此时的虚拟机创建快照；恢复快照，重新进行漏洞挖掘验证漏洞。本发明的全息漏洞库构建方法实现了集漏洞样本、动态复现、验证代码于一体，覆盖漏洞全生命周期的漏洞数据库，为漏洞挖掘、分析、检测、验证、评估等应用提供强力支撑。全息漏洞库的出现弥补安全漏洞业界对于漏洞信息描述不够完整、不够充分的缺陷。

Description

一种重现漏洞全生命周期的全息漏洞库的构建方法

技术领域

本发明属于信息安全技术领域，具体涉及一种重现漏洞全生命周期的全息漏洞库的构建方法。

背景技术

在网络信息行业发展不断壮大，各类系统软件不断涌现的时期，计算机软件、硬件、操作系统、网站等在安全方面不断暴露出安全问题，发现威胁系统各类性能的安全漏洞。目前虽然已经有许多漏洞挖掘方法用以发现各类漏洞，并将可公开的安全漏洞基本要素信息进行展示。在网络安全业界，安全漏洞的统一收集分析与漏洞风险评估工作主要通过两个漏洞发布平台执行，包括国内的CNVD(China National Vulnerability Database)、CNNVD(China National Vulnerability Database of Information Security)以及国外的CVE(Common Vulnerability and Exposures)等三大主要平台。这三个平台的作用主要是为网络安全产业的安全漏洞基本信息进行整合，其中漏洞信息库中包含的信息只包含漏洞编号，危害级别，影响产品，漏洞问题描述，其危害可能涉及到的产品以及是否有解决方案和补丁等基本信息。但是作为漏洞挖掘新手或者外行人，根据漏洞信息表中的要素信息只能获取漏洞编号、漏洞危害产品和范围、是否有解决方案等单一静态的基本信息，但这些信息要素只具备漏洞存活期间的静态单一信息，并没有对漏洞的产生形成时期、漏洞发现利用时期、漏洞发展时期和漏洞弥补时期及漏洞如何防治等漏洞完整生命链各个阶段的详细动态信息描述。从现有漏洞库漏洞信息要素信息当中不能获取任何有助于提高漏洞挖掘能力的信息，不能帮助用户理解漏洞如何被发现的过程，漏洞产生的原理，漏洞如何引起系统问题，也不能实际的展示漏洞修复的方法。

为了提高我们在安全漏洞方面的整体研究水平和应急预防能力，并且切实实现漏洞的全生命周期(包含漏洞的产生和触发过程，漏洞的发现过程和所使用的工具及方法，漏洞对系统的危害原理，以及漏洞的补丁发布和修复过程，漏洞的影响范围以及漏洞公开等整个过程)分析展示和漏洞风险等级的评估，以及漏洞挖掘和修补经验的传承职能，因此网络安全业界需要构建一类能够覆盖漏洞完整生命周期的信息数据库来弥补安全漏洞业界数据静态单一不够完整充分的缺陷。

所谓全息漏洞库，指的是：一种漏洞信息存储数据库，保存的漏洞要素可以完整动态地复现漏洞的产生形成时期、漏洞发现利用时期、漏洞发展时期和漏洞弥补时期及漏洞如何防治等漏洞完整生命链各个阶段的详细动态信息描述，由此我们提出全息漏洞库的新概念以及全息漏洞库的构建新方法。

全息漏洞库可以大幅提升漏洞分析交流协作效率，并且快速提取漏洞全生命周期的任何状态信息进行分析；同时较现有漏洞库信息，全息漏洞库对漏洞的危害性进行精细评估。全息漏洞库的构建可以有效地验证漏洞利用代码的效能。帮助研究漏洞异常成因分析、异常路径构造、同源性漏洞分析技术，漏洞可利用性判定技术。针对漏洞危害性评估难题，对漏洞可能造成的潜在危害进行分析，分析漏洞的利用机理，研究漏洞利用路径自动构造方法和可利用性评估方法，研发漏洞危害性评估系统，从而提高对漏洞的快速利用验证和危害性评估能力。

发明内容

为了克服现有技术的上述缺点，本发明提供了一种重现漏洞全生命周期的全息漏洞库的构建方法，集漏洞样本、动态复现、验证代码等于一体，覆盖漏洞全生命周期的全息漏洞库，解决现有漏洞库信息静态单一的问题，为漏洞检测、验证、评估、应用等提供强力支撑。

本发明解决其技术问题所采用的技术方案是：一种重现漏洞全生命周期的全息漏洞库的构建方法，包括如下步骤：

步骤一、获取程序执行过程中的寄存器状态，堆栈信息，内存信息，指令信息以及控制流信息，并将其保存为trace文件；

步骤二、通过HOOK函数从Trace文件中确定出目标程序的漏洞位置；

步骤三、按设定的漏洞信息数据结构提取活动漏洞要素信息，并存入数据库中；

步骤四、从数据库中提取信息用于新建虚拟机；

步骤五、将挖掘任务目标和挖掘工具安装在虚拟机中，并执行挖掘任务，记录挖掘结果，并将此时的虚拟机创建快照；

步骤六、恢复快照，重新进行漏洞挖掘验证漏洞。

与现有技术相比，本发明的积极效果是：

本发明的全息漏洞库构建方法实现了集漏洞样本、动态复现、验证代码等于一体，覆盖漏洞全生命周期的漏洞数据库，为漏洞挖掘、分析、检测、验证、评估等应用提供强力支撑。全息漏洞库的出现弥补安全漏洞业界对于漏洞信息描述不够完整、不够充分的缺陷，能对安全漏洞分析与发掘人员提供漏洞详细的参考信息。

全息漏洞库可以大幅提升漏洞分析交流协作效率，并且快度提取漏洞全生命周期的任何状态信息进行分析；同时较现有漏洞库信息，全息漏洞库对漏洞的危害性进行精细评估。全息漏洞库的构建可以有效地验证漏洞利用代码的效能。帮助研究漏洞异常成因分析、异常路径构造、同源性漏洞分析技术，漏洞可利用性判定技术。针对漏洞危害性评估难题，对漏洞可能造成的潜在危害进行分析，分析漏洞的利用机理，研究漏洞利用路径自动构造方法和可利用性评估方法，研发漏洞危害性评估系统，从而提高对漏洞的快速利用验证和危害性评估能力。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为全息漏洞库构建的整体思路；

图2为Trace文件构建全息漏洞库整体框架图；

图3为利用快照实现全息漏洞库构建的整体框架图。

具体实施方式

本发明意在构建能够体现漏洞全生命周期的全息漏洞库，根据构建目标，需要解决的关键技术问题主要有两点：首先是可以展现漏洞库全生命周期的全息漏洞库是什么，也就是需要哪些要素信息才能体现上面提到的所有过程；其次是如何构建全息漏洞库，用什么方法可以完整地保存漏洞从产生、发现到完全修复的过程，使得无论何时都可以复现整个过程。

(一)首先全息漏洞库不仅仅指可以展现漏洞样本的基本信息的数据库，更是指完整展现漏洞本身，运行环境和时序，漏洞触发条件和POC，漏洞的产生形成时期、漏洞发现利用时期、漏洞发展时期和漏洞弥补时期及漏洞防治等完整周期，以实现漏洞动态状态切片叠加复现、代码验证等于一体的覆盖漏洞全生命周期的全息漏洞库，为漏洞检测、验证、评估、应用等提供强力支撑，为漏洞挖掘经验分享和技术传承等方面提供学习素材。根据全息漏洞库的定义和信息覆盖范围，整理出描述全息漏洞库的数据信息结构要素点，构成全息漏洞库。

(二)第二个关键技术点在于使用哪些技术来构建全息漏洞库，根据全息漏洞库的定义，以及整理出描述全息漏洞库的数据信息结构要素点信息，有以下两个方法可以实现：

1、通过快照保存来实现动态复现漏洞全生命周期过程。

2、通过Trace文件来实现动态复现漏洞全生命周期过程。

详细内容介绍如下：

本发明的技术方案主要分为两个方面：与传统漏洞库要素点相比较，全息漏洞库要素点总结如下第一部分，第二部分是构建全息漏洞库所使用的技术。

一、全息漏洞库数据信息结构要素

在漏洞信息数据信息结构构建方面，针对现有漏洞信息数据结构静态单一的问题，提出了动态的漏洞信息数据结构，全息漏洞库以活性生命体的创新角度描述漏洞样本信息，从漏洞样本中提取出从产生、挖掘、分析、监测、评估、复现、验证的覆盖漏洞完整生命周期的漏洞样本生命信息，开创性地提出不同种类漏洞生命信息的基因组合片段漏洞分析模型，构建出漏洞信息数据结构。全息漏洞库涵盖漏洞样本信息、动态复现信息、漏洞验证代码等信息数据结构于一体，动态描述漏洞信息；基于虚拟机(快照)技术和容器(Trace文件)技术，保存漏洞挖掘分析过程中的各阶段关键信息与漏洞激发环境等动态信息，构建全息漏洞信息库。根据全息漏洞库要求，包括传统漏洞信息和新增信息要去，全息漏洞库的漏洞信息数据结构主要由21类要素组成，各要素具体说明如下表1：

二、全息漏洞库动态重现方法

全息漏洞库构建的实现方法包括两类：通过虚拟机快照和Trace追踪文件两种方式，图1是全息漏洞库构建的整体思路，下面详细介绍用者两种技术具体如何实现全息漏洞库构建。

1、Trace文件

(1)Trace文件

Trace文件，追踪文件记录了各种操作及操作所消耗的时间等信息，trace文件就是实际执行操作的顺序记录文件，根据trace文件我们就可以根据时间顺序重现、恢复整个执行过程获得过程当中的状态和关键数据等信息。Trace文件是我们可以得到的系统最明细的执行过程，记录顺序按照时间先后有序记录，从执行起始点，流经的数据包，执行或操作过程或函数，传入的具体参数信息，具体到每个操作的执行计划、执行时间、执行时间分布等过程信息。

Trace文件的作用主要是跟踪系统动作；追踪系统动作主要有两个作用：i.根据参数追踪，重现出错；ii.查找运行缓慢的部分；

借助Trace文件，在我们分析系统漏洞时主要使用Trace文件跟踪系统动作的作用当系统或软件出现问题时，精确定位出错的部位，根据trace中传入的参数，重现问题，进而分析出错的原因。

(2)Trace文件构建全息漏洞库整体框架

利用Trace文件构建全息漏洞库的整体过程如图2所示，通过基于虚拟化技术的动态污点传播技术来获取程序执行过程中的寄存器状态，堆栈信息，内存信息，指令信息以及控制流信息，并将其保存为可高效检索和恢复的trace文件，能够有效记录漏洞的整个生命周期，通过trace文件可以展现漏洞发现、分析到利用漏洞的全生命周期。

(3)全息漏洞库复现过程

第一步：通过HOOK函数从确定出Trace文件中确定出目标程序的漏洞位置；

第二步：整理出活动漏洞要素信息，相关信息数据结构如表1所示，并将信息存入数据库中；

第三步：从数据库中提取漏洞寄存器表现，漏洞内存表现、漏洞数据状态和漏洞数据流追踪等信息，根据这些信息新建虚拟机；

第四步：在虚拟机里对目标进行漏洞挖掘、分析、验证。

第五步：根据漏洞规则以及危害程度对该漏洞进行评估。

2、快照技术

(1)虚拟机快照技术

虚拟机快照技术是关于指定数据集合或系统的一个完全可用的拷贝，该拷贝包括相应数据在某个时间点(拷贝开始的时间点)的映像。快照可以是其所表示的数据的一个副本，也可以是数据的一个复制品。

快照技术的作用：主要是能够进行在线数据恢复，当存储设备发生应用故障或者文件损坏时可以进行及时数据恢复，将数据恢复成快照产生时间点的状态。快照的另一个作用是为存储用户提供了另外一个数据访问通道，当原数据进行在线应用处理时，用户可以访问快照数据，还可以利用快照进行测试等工作。

(2)快照构建全息漏洞库整体框架

图3所示是利用快照实现全息漏洞库构建的整体框架图，同时通过快照技术，可以完整地记录和还原漏洞从发现、分析到利用的软件环境，包括产生漏洞的软件或系统环境、所使用的操作系统版本、所漏洞挖掘工具使用的工具环境、漏洞触发点、漏洞修复点以及漏洞触发时的寄存器、内存、数据状态等信息。

(3)如何创建快照

以Openstack为基础，基于Nova组件制定定制化技术开发，实现基于KVM，Xen，Libvirt的虚拟化技术。将挖掘任务目标和挖掘工具安装在虚拟机中，并执行挖掘任务，记录挖掘结果。并将此时的虚拟机创建快照，保存当前包括产生漏洞的软件或系统环境、所使用的操作系统版本、所漏洞挖掘工具使用的工具环境、漏洞触发点、漏洞修复点以及漏洞触发时的寄存器、内存、数据状态等信息。

(4)如何恢复快照

利用快照新建虚拟机，打开虚拟机可快速恢复到创建快照时系统的状态，并可以根据虚拟机中的内容重现整个漏洞发现、分析的过程；可以重新进行漏洞挖掘验证漏洞。

Claims (7)

1.一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：包括如下步骤：

步骤一、获取程序执行过程中的寄存器状态，堆栈信息，内存信息，指令信息以及控制流信息，并将其保存为trace文件；

步骤二、通过HOOK函数从Trace文件中确定出目标程序的漏洞位置；

步骤三、按设定的漏洞信息数据结构提取活动漏洞要素信息，并存入数据库中；

步骤四、从数据库中提取信息用于新建虚拟机；

步骤五、将挖掘任务目标和挖掘工具安装在虚拟机中，并执行挖掘任务，记录挖掘结果，并将此时的虚拟机创建快照；

步骤六、恢复快照，重新进行漏洞挖掘验证漏洞。

2.根据权利要求1所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：所述漏洞信息数据结构主要包括如下要素：

(1)漏洞是否公开：漏洞是否为公开漏洞；

(2)漏洞公开时间：如果为公开漏洞，其公开的时间；

(3)漏洞发现者；

(4)漏洞类型：漏洞的类型，溢出类、UAF、逻辑漏洞等类型；

(5)漏洞影响范围：影响的平台或者软件，WINDOWS、LINUX、STRUTS2或者某个软件、系统等；

(6)漏洞POC：漏洞的验证设想；

(7)漏洞EXP：漏洞的利用；

(8)漏洞补丁发布时间：是否发布了补丁，如果有，其发布的时间；

(9)漏洞触发点：漏洞在软件的某个文件中，由某个位置的指令触发；

(10)漏洞寄存器表现：漏洞触发时，软件的寄存器的取值状态；

(11)漏洞内存表现：漏洞触发时，其堆栈的情况；

(12)漏洞数据状态：导致的漏洞的关键数据是如何引入的；

(13)漏洞数据流追踪：追踪导致漏洞的关键是如何传递到漏洞触发点的数据流的；

(14)漏洞触发代码：如果有源代码，此处为漏洞触发的源代码；

(15)漏洞修复点：漏洞补丁在哪个位置修复了该漏洞；

(16)漏洞修复代码：如果有源代码，此处为修复代码；

(17)漏洞发现方法：通过何种方法发现该漏洞；

(18)漏洞发现工具：通过何种工具发现该漏洞；

(19)漏洞分析工具：通过何种工具对该漏洞进行分析；

(20)漏洞分析方法：通过何种分析方法分析该漏洞；

(21)漏洞验证虚拟机：验证该漏洞的虚拟机镜像。

3.根据权利要求2所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：步骤四所述新建虚拟机所需信息包括漏洞寄存器表现，漏洞内存表现，漏洞数据状态和漏洞数据流追踪信息。

4.根据权利要求2所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：步骤五所述将虚拟机创建快照时，保存当前包括产生漏洞的软件或系统环境、所使用的操作系统版本、所漏洞挖掘工具使用的工具环境、漏洞触发点、漏洞修复点以及漏洞触发时的寄存器、内存、数据状态等信息。

5.根据权利要求2所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：步骤六所述重新进行漏洞挖掘验证漏洞的方法为：利用快照新建虚拟机，打开虚拟机恢复到创建快照时系统的状态，并根据虚拟机中的内容重现整个漏洞发现和分析的过程。

6.根据权利要求2所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：导致的漏洞的关键数据的引入方式包括：网络、文件、用户输入等。

7.根据权利要求1所述的一种重现漏洞全生命周期的全息漏洞库的构建方法，其特征在于：所述寄存器状态，堆栈信息，内存信息，指令信息以及控制流信息通过基于虚拟化技术的动态污点传播技术来获取。