CN112199667A

CN112199667A - 软件保护方法、装置、设备及存储介质

Info

Publication number: CN112199667A
Application number: CN202011069555.3A
Authority: CN
Inventors: 乐德广
Original assignee: Changshu Institute of Technology
Current assignee: Changshu Institute of Technology
Priority date: 2020-09-30
Filing date: 2020-09-30
Publication date: 2021-01-08

Abstract

本发明实施例公开了一种软件保护方法、装置、设备及存储介质，其中，所述软件保护方法，包括：为软件的原始程序块预设待新增的程序块；记录软件的2个程序块之间的路径信息；在软件的原始程序块中随机插入虚假程序块和多余程序块；将软件中的每个程序块作为一个分支路径进行程序块压扁；创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值。针对现有软件保护方法难抵挡动态调试和符号执行攻击，通过新增虚假路径和多余路径模糊以及压扁分支路径模糊执行策略抵御符号执行攻击来进行软件保护。

Description

软件保护方法、装置、设备及存储介质

技术领域

本发明涉及软件保护技术领域，尤指一种软件保护方法、装置、设备及存储介质。

背景技术

路径模糊是指对程序的真正执行路径进行修改或隐藏，在不改变程序执行结果的前提下，模糊程序的逻辑关系，进而增加对程序逆向分析的难度，是目前使用最有效和广泛的软件保护技术之一。现有的路径模糊方法有不透明谓词和程序分支路径平展化等。其中，程序分支路径平展是通过对程序进行平展化来达到模糊程序的逻辑关系的目的。运行时程序仍以正确的顺序流经各个程序块，但是程序的结构会被彻底地破坏。而随着符号执行以及动态调试技术在程序逆向分析领域的成功应用，现有的平展路径模糊却面临符号执行的威胁，程序分支路径平展很容易被攻击者通过符号执行还原成原始程序。

发明内容

本发明实施例提供了一种软件保护方法、装置、设备及存储介质，针对现有软件保护方法难抵挡动态调试和符号执行攻击，通过新增虚假路径和多余路径模糊以及压扁分支路径模糊执行策略抵御符号执行攻击来进行软件保护。

本发明实施例提供了一种软件保护方法，包括：

为软件的原始程序块预设待新增的程序块；

记录软件的2个程序块之间的路径信息；

在软件的原始程序块中随机插入虚假程序块和多余程序块；

将软件中的每个程序块作为一个分支路径进行程序块压扁；

创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值。

进一步的，所述新增程序块为待新增加2种程序块，所述2种程序块分别为虚假程序块和多余程序块；

其中，所述虚假程序块是通过模糊条件表达式在两个原始程序块之间新建一个程序的分支路径；所述多余程序块是在两个原始程序块之间添加一个程序的顺序路径。

进一步的，所述将软件中的每个程序块作为一个分支路径进行程序块压扁的方法，包括：

设置每个程序块的路径变量，并使用所述路径信息中的源程序块SS作为当前程序块的路径变量值，而把所述目的程序块DS作为下一个程序块的路径变量值。

本发明实施例还提供一种软件保护装置，包括：

预设模块，用于为软件的原始程序块预设待新增的程序块；

记录模块，用于记录软件的2个程序块之间的路径信息；

插入模块，用于在软件的原始程序块中随机插入虚假程序块和多余程序块；

压扁模块，用于将软件中的每个程序块作为一个分支路径进行程序块压扁；

创建模块，用于创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值。

本发明实施例还提供一种软件保护设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现所述软件保护方法。

本发明实施例还提供一种计算机可读存储介质，存储有计算机可执行指令，所述计算机可执行指令用于执行所述软件保护方法。

本发明实施例，其方法包括：为软件的原始程序块预设待新增的程序块；记录软件的2个程序块之间的路径信息；在软件的原始程序块中随机插入虚假程序块和多余程序块；将软件中的每个程序块作为一个分支路径进行程序块压扁；创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值；由此能保护程序路径分支信息，有效减少路径分支信息的泄露，抵抗符号执行的动态逆向分析。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

图1是本发明实施例的所述软件的程序块的流程示意图；

图2是本发明实施例的所述在软件的原始程序块中随机插入虚假程序块和多余程序块的流程示意图；

图3是本发明实施例的所述基于程序块路径信息压扁后的程序块流程图的流程示意图；

图4是本发明实施例的swVar经过swFunc模糊后的结构示意图；

图5是本发明实施例的软件保护方法的流程图；

图6是本发明实施例的软件保护装置的流程图。

具体实施方式

下文中将结合附图对本发明的实施例进行详细说明。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

符号执行程序分析的基础是程序在执行过程中的路径分支信息泄露问题。在平展程序执行过程中，所有路径分支的逻辑关系都是固定的，这些路径分支信息易于收集和逆向推理分析，引起路径分支的信息泄露。因此，本发明实施例在路径分支信息中引入虚假程序块和多余程序块，构建模糊路径，使分析者无法获取程序实际的执行路径，从而防范了路径信息的收集，抵抗了基于路径敏感分析的逆向工程。此外，构建分支路径模糊执行策略，路径分支结构的目标地址存储于符号执行不可控制的swFunc算法中，被隐藏的路径信息呈现良好的模糊特性，使程序执行过程具有不确定性，其行为与结构无法预测，增加逆向工程符号执行推理分析的难度。

针对上述情况，如图5所示，本发明实施例提出一种软件保护方法，包括：

步骤101，为软件的原始程序块预设待新增的程序块。

其中，为了模糊程序块的执行路径，除了软件源程序的原始程序块(源程序的原始程序块称为O程序块)之外，本发明实施例的软件保护方法在一个实施例中，所述新增程序块为待新增加2种程序块，所述2种程序块分别为虚假程序块和多余程序块；

其中，所述虚假程序块是通过模糊条件表达式在两个原始程序块之间新建一个程序的分支路径，称为B程序块；所述多余程序块是在两个原始程序块之间添加一个程序的顺序路径，称为J程序块，如表1所示：

表1

程序块类型名称	程序块类型标识符
		原始程序块	O
虚假程序块	B
		多余程序块	J

步骤102，记录软件的2个程序块之间的路径信息。

其中，记录软件的2个程序块之间的路径信息PATH＝SS->DS。其中，SS是软件的源程序块，DS是软件的目的程序块。而如图1所示的软件流程示意图的程序块包括有S1、S2、S3和S4，则图1中软件的程序块路径信息如表2所示。

表2

序号	程序块	路径(SS->DS)
			1	0	开始->S1
2	S1	S1->S2
			3	S1	S1->S3
4	S2	S2->S4
			5	S3	S3->S4
6	0	S4->结束

步骤103，在软件的原始程序块中随机插入虚假程序块和多余程序块。

其中，根据步骤101和步骤102，在软件的原始程序块中随机插入虚假程序块和多余程序块。例如，在图1的S1->S2之间插入一个J程序块S5，在S2->S4之间插入一个J程序块S6，在S3->S4之间新增一个B程序块S7。从而构建了如图2所示的模糊路径：S1->S5，S2->S6，S3->S7。表3显示了图2软件中的程序块类型及其路径信息。

表3

步骤104，将软件中的每个程序块作为一个分支路径进行程序块压扁。

其中，在一个实施例中，所述将软件中的每个程序块作为一个分支路径进行程序块压扁的方法，包括：

设置每个程序块的路径变量为swVar，并使用步骤102内的所述路径信息中的源程序块SS作为当前程序块的路径变量值，而把所述目的程序块DS作为下一个程序块的路径变量值。如图3所示，其为根据图2的示例实现的基于程序块路径信息压扁后的程序块流程图。

在图3中，当程序块S1执行后，进行条件判断。如果条件为真(T)，则路径变量swVar值为S2。如果条件为假(F)，则路径变量swVar值为S5。然后，根据swVar执行下一个程序块。当程序块S2执行后，路径变量swVar值为S6。然后，根据swVar执行下一个程序块。当程序块S3执行后，进行条件判断。如果条件为真(T)，则路径变量swVar值为S4。如果条件为假(F)，则路径变量swVar值为S7。然后，根据swVar执行下一个程序块。当程序块S4执行后，程序结束。当程序块S5执行后，路径变量swVar值为S3。然后，根据swVar执行下一个程序块。当程序块S6执行后，路径变量swVar值为S4。然后，根据swVar执行下一个程序块。当程序块S7执行后，路径变量swVar值为S4。然后，根据swVar执行下一个程序块。

步骤105，创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值。

其中，创建一个路径模糊执行算法swFunc，用于以此根据当前程序块的路径变量值(SS)、程序块路径信息(PATH)以及程序块的类型(TYPE)生成下一个待执行程序块的路径变量值。图3示例的swVar经过swFunc模糊后如图4所示，在图4中，S5、S6和S7为压扁程序块中的模糊执行分支路径。

在图4中，当程序块S1执行后，进行条件判断。如果条件为真(T)，则路径变量swVar值为swFunc(S1,T)。如果条件为假(F)，则路径变量swVar值为swFunc(S1,F)。然后，根据swVar执行下一个程序块。当程序块S2执行后，路径变量swVar值为swFunc(S2,T)。然后，根据swVar执行下一个程序块。当程序块S3执行后，进行条件判断。如果条件为真(T)，则路径变量swVar值为swFunc(S3,T)。如果条件为假(F)，则路径变量swVar值为swFunc(S3,F)。然后，根据swVar执行下一个程序块。当程序块S4执行后，程序结束。当程序块S5执行后，路径变量swVar值为swFunc(S5,T)。然后，根据swVar执行下一个程序块。当程序块S6执行后，路径变量swVar值为swFunc(S6,T)。然后，根据swVar执行下一个程序块。当程序块S7执行后，路径变量swVar值为swFunc(S7,T)。然后，根据swVar执行下一个程序块。

根据每个程序块的类型TYPE及路径信息PATH构建swFunc算法。swFunc算法伪代码如下所示：

根据swFunc算法伪代码，其算法描述如下：

算法1：分支路径模糊执行算法(swFunc)

输入：程序中当前路径的源程序块(SS)；路径信息(PATH)

输出：程序中下一个执行路径的源程序块(S.SS)

1.定义一个字符字符变量c。

2.调用目的程序块计算函数DS(SS,PATH)，该函数根据swFunc传入的程序中当前路径的源程序块(SS)；路径信息(PATH)得到对应的目的程序块S。

3.根据目的程序块S的类型值(S.TYPE)分析该程序块是否执行，并返回目的程序块S的S.SS值。其中，S的类型值用类型不透明谓词TypeOpaPred()来表达。S的S.SS值用程序块不透明谓词SsOpaPred()来表达。这些多态不透明谓词的实现使得程序块分析无法确定S.TYPE和S.SS的变化情况，攻击者无法重构出原始程序块图，从而保护了原始代码逻辑中的部分细节。

4.如果目的程序块S的类型为O，即S.TYPE＝＝TypeOpaPred^＝O(S)，通过random(‘i’,O)算法计算生成一个随机字符‘i’，并赋值给变量c。

5.如果c等于字符‘i’时，则直接返回目的程序块S的S.SS值，即return SsOpaPred^＝S.SS(S)；。

6.如果c不等于字符‘i’时，则继续调用swFunc算法返回S的目的程序块，并分析其是否执行，即returnswFunc(SsOpaPred^＝S.SS(S),S.PATH)；。

7.如果目的程序块S的类型为J，即S.TYPE＝＝TypeOpaPred^＝J(S)，则通过random(‘j’,J)算法计算生成一个随机字符‘j’，并赋值给变量c。

8.如果c等于字符‘j’时，则直接返回目的程序块S的S.SS值，即return SsOpaPred^＝S.SS(S)；。

9.如果c不等于字符‘j’时，则继续调用swFunc算法返回S的目的程序块，并分析其是否执行，即returnswFunc(SsOpaPred^＝S.SS(S),S.PATH)；。

10.如果目的程序块S的类型为B，即S.TYPE＝＝TypeOpaPred^＝B(S)，则再次通过random(‘k’,K)算法计算生成随机字符‘k’并更新随机字符变量c。

其中，random(char c,char d)算法表示根据d的概率(如表4所示)生成字符c。表4的概率值，可以根据需要，由用户来调整。

表4

程序块类型标识符	概率
		O	100％
B	60％
		J	40％

11.如果c等于字符‘k’时，则直接返回目的程序块S的S.SS值，即returnSsOpaPred^＝S.SS(S)；。

12.如果c不等于字符‘k’时，则继续调用swFunc算法返回S的目的程序块，并分析其是否执行，即returnswFunc(SsOpaPred^＝S.SS(S),S.PATH)。

总之，本发明实施例的软件保护方法能够：

(1)通过同时引入虚假程序块和多余程序块模糊路径分支，减少软件路径分支信息的泄漏，增加通过符号执行进行路径分支信息收集的难度。

(2)通过分支路径模糊执行策略随机执行压扁路径可以使软件路径分支信息执行模糊化，增加利用压扁化路径分支信息进行符号执行逆向分析的难度。

(3)通过类型不透明谓词TypeOpaPred()模糊程序块类型，增加攻击者对程序块类型的逆向分析难度。

(4)通过程序块不透明谓词SsOpaPred()模糊目的程序块，增加攻击者对目的程序块块的逆向分析难度。

如图6所示，本发明实施例还提供一种软件保护装置，包括：

预设模块71，用于为软件的原始程序块预设待新增的程序块；

记录模块72，用于记录软件的2个程序块之间的路径信息；

插入模块73，用于在软件的原始程序块中随机插入虚假程序块和多余程序块；

压扁模块74，用于将软件中的每个程序块作为一个分支路径进行程序块压扁；

创建模块75，用于创建一个路径模糊执行算法，以此根据当前程序块的路径变量值、程序块路径信息以及程序块的类型生成下一个待执行程序块的路径变量值。

其中，利用虚假路径与多余路径提出了一种路径模糊化执行的压扁路径模糊方法来隐藏程序的路径分支信息。使用模糊表达式引入虚假路径程序块压扁来抵御通过符号执行得到完整的执行路径，多余路径程序块压扁来抵御符号执行根据完整的执行路径分析出有效块之间的前后关系，并结合模糊算法随机执行虚假路径和多余路径，将符号执行推理路径分支信息的难度等价到逆向推理模糊虚假路径和多余路径的难度。该发明能模糊程序的路径分支信息，有效减少路径分支信息的泄露，抵抗基于符号执行的动态逆向分析。

在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，ReadOnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些组件或所有组件可以被实施为由处理器，如数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号。

Claims

1.一种软件保护方法，其特征在于，包括：

为软件的原始程序块预设待新增的程序块；

记录软件的2个程序块之间的路径信息；

在软件的原始程序块中随机插入虚假程序块和多余程序块；

将软件中的每个程序块作为一个分支路径进行程序块压扁；

2.根据权利要求1所述的软件保护方法，其特征在于，所述新增程序块为待新增加2种程序块，所述2种程序块分别为虚假程序块和多余程序块；

3.根据权利要求1所述的软件保护方法，其特征在于，所述将软件中的每个程序块作为一个分支路径进行程序块压扁的方法，包括：

4.一种软件保护装置，其特征在于，包括：

预设模块，用于为软件的原始程序块预设待新增的程序块；

记录模块，用于记录软件的2个程序块之间的路径信息；

5.一种软件保护设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1～3中任意一项所述软件保护方法。

6.一种计算机可读存储介质，其特征在于，存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1～3中任意一项所述软件保护方法。