CN110941552A - 一种基于动态污点分析的内存分析方法及装置 - Google Patents

Abstract

本发明公开了一种基于动态污点分析的内存分析方法、装置、终端设备及可读存储介质，所述方法包括：将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。本发明能够在无源码的情况下分析程序，检测内存溢出问题，从而提取生成漏洞利用所需的关键信息。

Description

一种基于动态污点分析的内存分析方法及装置

技术领域

本发明涉及计算机技术领域，尤其是涉及一种基于动态污点分析的内存分析方法、装置、终端设备及可读存储介质。

背景技术

由于程序数量的飞速增长，人工程序测试已经很难满足程序测试的需要。为了应对这个问题，一些自动化的程序测试方案相继被提出。根据程序是否真实执行，自动化的程序测试方案被划分为静态分析和动态分析。在不运行程序代码的方式下，静态分析通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描验证代码是否满足规范性、安全性、可靠性、可维护性等指标。而程序动态分析是指随着程序的运行，获取程序在执行过程中的信息，包括寄存器信息，内存信息等，以探索程序可能存在的漏洞。另一方面，模糊测试技术近年来取得了飞快的发展，它能够有效地产生能使程序崩溃的输入。这些崩溃是否会对程序的正常运行产生很大的影响，还需要大量人力去评估。如何基于模糊测试得到的崩溃输入进行程序动态分析，并评估该崩溃是否为高风险的漏洞，是一个很有意义的挑战。

要获得程序运行时的内存信息，一种最常规的操作就是进行代码插桩，通过插桩代码的执行，来获得当时的程序现场信息。现有一些技术，例如addresssanitizer就通过程序编译时插桩来获取与内存相关的信息。另一种方式就是使用类似pin，qemu来模拟程序执行过程，在模拟的过程中进行插桩分析。

在插桩的基础上，就可以对程序进行污点分析，现有的污点分析包括三个步骤：定义污染源，定义污染槽和跟踪污染传播。其中，污染源是你要跟踪的数据的程序位置。例如，系统调用，函数入口或某个内存操作指令都有可能是污染源。污染槽是指程序中的一些位置，你想检查这些位置的某些数据有没有受到污染。例如，为了检查程序控制流是否受到输入的影响，你可能会检查间接调用，间接跳转和return指令处下一条执行指令的位置是否受到输入的污染。污染传播是对污染源在程序中传播指定的规则。例如，如果mov的源操作数被污染，目的操作数也将被标记成污染。如此，受污染的数据将从污染源一路传播到污染槽。

对于现有技术的内存分析方案，依赖于程序源代码，无法对难以获取源码的程序进行分析。

发明内容

本发明实施例所要解决的技术问题在于，提供一种基于动态污点分析的内存分析方法、装置、终端设备及可读存储介质，能够在无源码的情况下分析程序，检测内存溢出问题，进而能够提取生成漏洞利用所需的关键信息。

为了解决上述技术问题，本发明实施例提供了一种基于动态污点分析的内存分析方法，包括：

将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；

对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

进一步地，所述对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理，具体为：

对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；

若是，则将所述目的操作数标记为污染；

若否，则净化所述目的操作数的污染。

进一步地，所述对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测，具体为：

对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；

若是，则判定内存产生栈溢出问题。

进一步地，所述基于动态污点分析的内存分析方法还包括：

对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

若是，则将所述目标地址判定为受控制地址。

为了解决相同的技术问题，本发明还提供了一种基于动态污点分析的内存分析装置，包括：

污染源标记模块，用于将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

污染处理模块，用于对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；

内存检测模块，用于对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

进一步地，所述污染处理模块具体用于：对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；若是，则将所述目的操作数标记为污染；若否，则净化所述目的操作数的污染。

进一步地，所述内存检测模块具体用于：对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；若是，则判定内存产生栈溢出问题。

进一步地，所述基于动态污点分析的内存分析装置还包括：

范围打印模块，用于对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

地址打印模块，用于当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

目标查询模块，用于判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

目标判定模块，用于将所述目标地址判定为受控制地址。

为了解决相同的技术问题，本发明还提供了一种基于动态污点分析的内存分析终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述存储器与所述处理器耦接，且所述处理器执行所述计算机程序时，实现任一项所述的基于动态污点分析的内存分析方法。

为了解决相同的技术问题，本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在的设备执行任一项所述的基于动态污点分析的内存分析方法。

与现有技术相比，本发明具有如下有益效果：

本发明提供了一种基于动态污点分析的内存分析方法、装置、终端设备及可读存储介质，所述方法包括：将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。本发明能够在无源码的情况下分析程序，检测内存溢出问题，从而提取生成漏洞利用所需的关键信息。

附图说明

图1是本发明一实施例提供的基于动态污点分析的内存分析方法的流程示意图；

图2是本发明一实施例提供的动态二进制插桩引擎的结构示意图；

图3是本发明一实施例提供的应用动态污点分析的流程示意图；

图4是本发明一实施例提供的内存分析的具体例子示意图；

图5是本发明一实施例提供的基于动态污点分析的内存分析装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参见图1，本发明实施例提供了一种基于动态污点分析的内存分析方法，包括步骤：

S1、将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

S2、对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理。

在本发明实施例中，进一步地，步骤S2具体为：

对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；

若是，则将所述目的操作数标记为污染；

若否，则净化所述目的操作数的污染。

S3、对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

在本发明实施例中，进一步地，步骤S3具体为：

对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；

若是，则判定内存产生栈溢出问题。

进一步地，所述基于动态污点分析的内存分析方法还包括步骤：

S4、对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

S5、当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

S6、判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

S7、若是，则将所述目标地址判定为受控制地址。

需要说明的是，现有技术中，对于类似addresssanitizer之类的内存分析方案，依赖于程序源代码，无法对难以获取源码的程序进行分析。对于污点分析，它的初衷是检测程序的某些关键位置是否被污染，因此它的侧重点在于考虑污染数据在整个程序范围内的传播。在这种情况下，因为每个涉及到污染数据处理的指令都有可能需要开辟额外的空间来标记，所以内存的开销是一个非常严重的问题。现有的污点分析中，也考虑到了这一点，使得污染传播中能够记录的信息非常有限。例如，最基本的污点分析对一个内存位置仅用一位来标记是否被污染。然而在内存分析时，栈这样的内存位置是被重复使用的，并且会随着函数的返回使得函数局部栈的内容不再有意义，因此在函数内部，可以用污点分析的方式记录局部栈内受污染情况，并且不用过于顾虑内存的开销，对于进一步的内存分析来说，我们也确实需要更多的内存位置来标记污染的来源和污染生效的地址。

本发明的目的在于，提供一种基于动态污点分析的内存分析方法，应对无源码的情况，借助于动态插桩技术及污点分析技术，能够检测内存溢出问题，并提取生成漏洞利用所需的关键信息。通过应用动态插桩平台，能够在无源码的情况下分析程序，在函数调用中，分析内存信息，检测是否产生栈溢出，并输出可以用于生成漏洞利用的关键信息。

请参见图2，在本发明实施例中，通过使用动态二进制插桩引擎进行内存分析的主要过程如下：

1、二进制插桩引擎动态地从进程中抓取部分数据与代码；

2、抓取后的代码不直接执行，而是在其中插入使用者定义的插桩代码，插桩代码负责指定在程序的哪些位置插桩，以便于程序执行到指定位置时，通过插桩代码跳转到分析代码。

3、经过插桩引擎的代码经过JIT编译后成为可执行的代码，并放入代码缓冲区等待执行。

4、缓冲区中的代码逐条进入模拟器模拟执行，当执行到插桩代码时，调用特定的分析代码获取动态信息，这些动态信息中包括了支撑污点分析的污染传播信息，也包括了生成漏洞利用的关键信息。

5、缓冲区中的代码耗尽时，通过调度器继续获取代码重复上述过程。

可以理解的是，使用者需要首先定义插桩函数和分析函数，插桩函数指明在程序中要插桩的位置，分析函数规定在插桩处需要进行的分析，这将在之后影响程序的执行过程。用二进制插桩引擎执行程序时，它并不是直接运行应用程序进程，而是在包含所有插桩代码的代码缓存中运行代码。开始，代码缓存是空的，插桩引擎通过代码抓取器从进程中取出一个代码块，并在用户定义的插桩函数和分析函数的指导下对这块代码进行插桩。在代码插桩完成后，动态二进制插桩引擎用一个JIT编译器来编译它，这将再次优化被插桩的代码，并把编译好的代码存在代码缓存中。JIT编译器还会重写控制流指令，确保控制流执行回到动态二进制插桩引擎，防止进程在未插桩的代码中继续执行。代码缓存中的代码逐条执行，直到出现一个控制流指令需要取回新的代码或者寻找缓存中的另一个代码块，之后操作全将交给调度器，重复上述的操作。

另一方面，C函数在执行时有着如下的特点：当一个函数调用发生之后，首先把当前命令的下一条压入栈中，继而将当前的栈基址指针也保存在栈中，最后将栈顶指针保存在栈基址寄存器中，在这之后，栈顶指针就可以处理局部变量。值得注意的是，局部栈的长度是在定义局部变量之前发生的，如果之后的写入操作没有被限制，就可能发生越界写，最终影响到存放在栈上的栈基址指针和返回地址。

请参见图3，需要说明的是，在动态二进制插桩引擎获取到的信息的基础上应用污点分析和提取栈溢出利用关键信息过程如下：

应用动态污点分析：

1、指定read等输入函数为污染源，将外部读入的数据标记成污染，通过一个set对象记录被污染的地址，用特定的数据结构记录寄存器的污染情况。

2、插桩每个内存操作指令，包括MOV，PUSH，POP，ADD，每次操作前进行检查，如果源操作数被污染，则将目的操作数标记成污染，如果源操作数未被污染，而目的操作数已被污染，则净化目的操作数的污染。

3、插桩ret指令，检查当前栈顶内存是否被污染，如果被污染，说明用户输入可以影响程序执行的控制流。

提取栈溢出利用关键信息：

1、插桩输入函数，打印出输入函数影响的内存范围。

2、在函数返回时，如果发现用户输入可以影响程序控制流，则打印当前存放污染数据的set对象。

3、如果某些地址同时处于某个输入函数影响的内存范围和存放污染数据的set对象，初步认定该内存地址受该输入函数控制，进而可以计算修改用户输入的哪些内容会影响控制流。

请参见图4，本方案具体生效的一个具体例子如下：

1、某个输入函数向内存读入了44个字符。

2、函数返回时，发现栈顶的内存地址被污染。

3、记录当前栈顶内存地址，结合插桩输入函数得到的信息，计算出当前栈顶地址受到该输入函数的第41到第44个字符控制。

4、同时，由于第1到第40个字符存放的地址同时存在于存放污染数据的set与读入函数的范围中，初步判定该40个字符存放地址的内容可通过此输入函数被用户控制。

本发明实施例通过动态程序模拟执行，在执行某个函数中的输入函数时，将内存中被输入影响的位置标记成被污染，并在函数返回时，检查返回地址是否被输入劫持。

另外本发明实施例还能够获取输入影响的内存地址，并将程序返回地址与受影响的内存地址比对。从而计算输入中的哪些字节影响了程序的控制流。

需要说明的是，对于以上方法或流程实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作并不一定是本发明实施例所必须的。

请参见图5，为了解决相同的技术问题，本发明还提供了一种基于动态污点分析的内存分析装置，包括：

污染源标记模块1，用于将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

污染处理模块2，用于对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；

内存检测模块3，用于对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

进一步地，所述污染处理模块2具体用于：对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；若是，则将所述目的操作数标记为污染；若否，则净化所述目的操作数的污染。

进一步地，所述内存检测模块3具体用于：对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；若是，则判定内存产生栈溢出问题。

进一步地，所述基于动态污点分析的内存分析装置还包括：

范围打印模块，用于对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

地址打印模块，用于当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

目标查询模块，用于判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

目标判定模块，用于将所述目标地址判定为受控制地址。

可以理解的是上述装置项实施例，是与本发明方法项实施例相对应的，本发明实施例提供的一种基于动态污点分析的内存分析装置，可以实现本发明任意一项方法项实施例提供的基于动态污点分析的内存分析方法。

为了解决相同的技术问题，本发明还提供了一种基于动态污点分析的内存分析终端设备，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述存储器与所述处理器耦接，且所述处理器执行所述计算机程序时，实现任一项所述的基于动态污点分析的内存分析方法。

所述基于动态污点分析的内存分析终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述处理器可以是中央处理单元(Central ProcessingUnit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述基于动态污点分析的内存分析终端设备的控制中心，利用各种接口和线路连接整个基于动态污点分析的内存分析终端设备的各个部分。

所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序等；存储数据区可存储根据手机的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

为了解决相同的技术问题，本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在的设备执行任一项所述的基于动态污点分析的内存分析方法。

所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (10)

1.一种基于动态污点分析的内存分析方法，其特征在于，包括：

将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；

对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

2.根据权利要求1所述的基于动态污点分析的内存分析方法，其特征在于，所述对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理，具体为：

对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；

若是，则将所述目的操作数标记为污染；

若否，则净化所述目的操作数的污染。

3.根据权利要求1所述的基于动态污点分析的内存分析方法，其特征在于，所述对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测，具体为：

对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；

若是，则判定内存产生栈溢出问题。

4.根据权利要求1所述的基于动态污点分析的内存分析方法，其特征在于，还包括：

对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

若是，则将所述目标地址判定为受控制地址。

5.一种基于动态污点分析的内存分析装置，其特征在于，包括：

污染源标记模块，用于将预设的输入函数指定为污染源，以将所述输入函数读入的数据标记为污染，并通过一个set对象记录被污染的地址；

污染处理模块，用于对所有的内存操作指令插桩以进行内存操作检查，并根据源操作数的污染情况对目的操作数进行标记处理；

内存检测模块，用于对ret指令插桩以进行栈顶内存检查，并根据当前栈顶内存的污染情况进行栈溢出检测。

6.根据权利要求5所述的基于动态污点分析的内存分析装置，其特征在于，所述污染处理模块具体用于：对所有的内存操作指令插桩以进行内存操作检查，判断所述源操作数是否被污染；若是，则将所述目的操作数标记为污染；若否，则净化所述目的操作数的污染。

7.根据权利要求5所述的基于动态污点分析的内存分析装置，其特征在于，所述内存检测模块具体用于：对ret指令插桩以进行栈顶内存检查，判断所述栈顶内存是否被污染；若是，则判定内存产生栈溢出问题。

8.根据权利要求5所述的基于动态污点分析的内存分析装置，其特征在于，还包括：

范围打印模块，用于对所述预设的输入函数进行插桩，并打印出所述输入函数的内存影响范围；

地址打印模块，用于当产生栈溢出问题时，将当前存放污染数据的set对象进行打印；

目标查询模块，用于判断是否存在同时处于所述内存影响范围以及所述存放污染数据的set对象中的目标地址；

目标判定模块，用于将所述目标地址判定为受控制地址。

9.一种基于动态污点分析的内存分析终端设备，其特征在于，包括处理器、存储器以及存储在所述存储器中且被配置为由所述处理器执行的计算机程序，所述存储器与所述处理器耦接，且所述处理器执行所述计算机程序时，实现如权利要求1至4任一项所述的基于动态污点分析的内存分析方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在的设备执行如权利要求1至4任一项所述的基于动态污点分析的内存分析方法。

Images