CN116720192A - 一种面向mips架构基于混合分析技术的漏洞检测方法 - Google Patents

Abstract

本发明公开了一种面向MIPS架构基于混合分析技术的漏洞检测方法，采用静态分析、静态污点分析、动态分析中任意一种方式；静态分析为将生成目标程序的控制流图并建模；基于静态分析进行静态污点分析，使用污点分析的基本思想，在静态分析的基础上进行污点传播分析；污点传播分析基于静态分析中的调用、依赖关系；动态分析力求分析程序运行时的行为，通过真实执行环境或模拟执行获得程序执行时的各种状态用于漏洞分析；动态分析用于发现静态执行对混淆或结构复杂的难以正确分析的程序块。将污点分析源与汇聚的目标描述从模型中解耦合，使得本发明的模型对不同类型漏洞的发掘能力更加灵活。

Description

一种面向MIPS架构基于混合分析技术的漏洞检测方法

技术领域

本发明涉及MIPS下漏洞检测技术领域，具体为一种面向MI PS架构基于混合分析技术的漏洞检测方法。特别是基于混合分析技术的，具有静态污点分析、动态分析和静态分析相结合，等特点的漏洞检测架构。

背景技术

近几年针对互联网基础设施和工业设备的攻击事件频发说明攻击者越来越意识到嵌入式设备在系统中的重要地位。及时发现和封堵漏洞变得尤为重要，但针对嵌入式设备的漏洞挖掘技术存在很多挑战。首先不同厂商为了多方面考虑往往不会提供系统固件的程序源码甚至是固件本身。其次嵌入式设备本身资源有限，不同于PC平台对程序进行分析时插桩等技术手段将受到很大限制，动态分析在嵌入式平台上大多选择模拟执行的方式。此外，嵌入式平台的结构各不相同，且不同嵌入式设备还会搭载不同操作系统，不同于PC平台Wi ndows和L i nux为主流，架构方面X86或X86_64占据绝大多数，且嵌入式平台下不同架构不同系统的操作差异性大分析技术往往无法通用。

据统计与分析，MI PS架构和对应架构的Li nux占据主流。32位的MI PS架构(包括大端小端)的设备排第一位，约79.4％，第二位是32位的小端ARM，占8.9％，这两种体系总共占所有固件镜像的90.8％。在OS分类中，Li nux和类L i nux(功能完备，符合Li nux标准协议格式)的设备占约50％，不使用文件系统的轻量级嵌入式系统占42％左右，约8％的设备使用了专用的操作系统，需要使用专有的固件提取工具才能正确提取其内核和文件系统。

发明内容

本发明提供一种面向M I PS架构基于混合分析技术的漏洞检测方法，采用静态分析、静态污点分析、动态分析中任意一种方式；

静态分析在不运行源码的基础上进行代码级的分析，通过对代码模块、调用关系、语法语义的分析获得程序的脉络结构；静态分析为将生成目标程序的控制流图并建模；

基于静态分析进行静态污点分析，使用污点分析的基本思想，在静态分析的基础上进行污点传播分析；污点传播分析基于静态分析中的调用、依赖关系；

动态分析力求分析程序运行时的行为，通过真实执行环境或模拟执行获得程序执行时的各种状态用于漏洞分析；动态分析用于发现静态执行对混淆或结构复杂的难以正确分析的程序块。

优选的,动态分析中，通过采用抽象的符号代替精确值作为程序输入变量，得出每个路径抽象的输出结果。

优选的,静态分析直接分析二进制文件，将二进制反汇编后生成中间语言同时建立基于中间语言的控制流图，通过控制流图的关系获得函数间的调用关系并根据漏洞描述文件进行静态污点分析。

优选的,静态污点分析通过漏洞描述文件执行分析过程，其中漏洞描述文件中描述了引发该种漏洞的污点源和污点汇聚函数；结合污点源和汇聚函数分析出多条污点的传播路径；动态分析的分析基于污点传播路径，在传播路径上使用符号化执行技术分析可执行文件利用求解器获得最终解程序执行路径的解值。

优选的，污点分析包括识别污点源和污点汇聚点，使用启发式的策略进行污点标记,进行污点标记时，把来自程序外部输入的数据统称为“污点”数据,这些数据有包含恶意数据。同时本发明中也额外维护一些更复杂的标签记录变量的污染信息来自哪些数据源点并精确到数据源点接收数据的那一部分。分析程序语句。在确定如何记录污染信息后，将对程序语句进行静态分析，此处直接使用之前对程序初步静态分析后封装好的信息。遍历代码块。使用流敏感的方式或者路径敏感的方式进行遍历并分析过程中的代码块。流敏感在本发明中表现为分析的路径严格依赖静态分析时转换的中间语言的执行顺序。使用流敏感的方式即通过对不同路径上的分析结果进行汇集以发现程序中的数据净化规则。对于发生函数内调用的情况分析传播路径时则使用路径敏感的分析方式，此方式需要关注路径条件，如果路径条件中涉及对污染变量取值的限制，可认为路径条件对污染数据进行了净化，还可以将分析路径条件对污染数据的限制进行记录，如果在一条程序路径上，这些限制足够保证数据不会被攻击者利用，就可以将相应的变量标记为未污染的。

优选的，进行污点标记时，为记录污染信息，为变量添加一个污染标签，使用一个布尔型变量表示变量是否被污染。

本发明的有益效果：

本发明面向M I PS架构的漏洞测试框架能够通过编写漏洞描述实现对多种漏洞的检测，同时由于在Angr原有框架的基础上引入静态污点分析技术使得动态分析的目标解路径缩小到10个以内，避免了Angr本身运行时路径爆炸的问题。

本发明的特点是实现静态分析、静态污点分析与动态分析相结合的分析方式，提高框架的对大型待分析程序的分析能力，使得分析框架能够在复杂的程序中确定出不超过10个的待检测路径。通过编写独立的漏洞描述脚本实现框架对各种漏洞的自动化检测。

由于现有的面向M I PS架构设备的漏洞分析框架多受限于指令差异性、运行资源受限、漏洞触发偏向底层的问题分析效果普遍不理想，此外由于M I PS架构设备往往不会开放固件，因此针对目标文件的静态检测和分析方法通用性不高。本发明的模型通过将静态分析、静态污点分析与动态分析相结合，实现对可执行的二进制文件直接进行分析，并通过模拟执行的方式动态运行目标程序，不但可以跨越不开放固件的问题还可以有效触发更底层的漏洞。此外，本发明还通过将检测目标漏洞解耦合的策略，通过自定义漏洞描述文件大大增加了本发明的可扩展性和适应性。

将静态污点分析和静态分析以及动态分析相结合，将分析范围由全部程序进一步缩小为由污点源向污点汇聚传播的各个路径从而进一步增加模型分析可执行文件的能力。同时本模型将污点分析源与汇聚的目标描述从模型中解耦合，使得本发明的模型对不同类型漏洞的发掘能力更加灵活。

附图说明

图1是本发明的一种面向M I PS架构基于混合分析技术的漏洞检测技术的总体设计模块图；

图2是本发明的污点传播过程图；

图3是本发明的参数传递依赖分析过程图；

图4是本发明的约束求解过程图。

具体实施方式

下面将结合附图对本发明中的技术方案进行清楚、完整地描述。

本发明所述的污点传播分析技术聚焦于代码过程内的分析，传播分析过程如图2所示：记录污点信息。在静态分析层面本发明主要关注程序变量的污染情况。为记录污染信息，通常为变量添加一个污染标签。本发明使用一个布尔型变量表示变量是否被污染。同时本发明中也额外维护一些更复杂的标签记录变量的污染信息来自哪些数据源点并精确到数据源点接收数据的那一部分。分析程序语句。在确定如何记录污染信息后，将对程序语句进行静态分析，此处直接使用之前对程序初步静态分析后封装好的信息。遍历代码块。使用流敏感的方式或者路径敏感的方式进行遍历并分析过程中的代码块。流敏感在本发明中表现为分析的路径严格依赖静态分析时转换的中间语言的执行顺序。使用流敏感的方式即通过对不同路径上的分析结果进行汇集以发现程序中的数据净化规则。对于发生函数内调用的情况分析传播路径时则使用路径敏感的分析方式，此方式需要关注路径条件，如果路径条件中涉及对污染变量取值的限制，可认为路径条件对污染数据进行了净化，还可以将分析路径条件对污染数据的限制进行记录，如果在一条程序路径上，这些限制足够保证数据不会被攻击者利用，就可以将相应的变量标记为未污染的。

本发明中使用的代码切片技术基于后向切片技术，后向切片技术依赖于控制流图和参数传递关系。后向切片技术需要提供程序的目标起始地址集合目标地址集，目标地址集可以是控制流图的一个节点也可以是一个代码片段集合的索引(最终的代码切片都是中间语言的形式)。后向切片技术利用控制流图节点做函数的定位，通过参考参数传递关系和控制流图的路径为语句的扩大提供方向。在对控制流图后向遍历得到的节点中语句会被标记，标记后的语句类似本文的污点，污点语句中使用的参数通过参数传递关系获得控制依赖于是就获得了下一步需要分析的节点，将新发现的前向数据依赖点添加到污点集中。然后再调用控制依赖图挑选出它的控制依赖，再寻找新的污点。最后逐级向上层递归把所有的指向目标地址集的污点都找到，并加入到污点集中。

本发明的函数依赖分析技术就是要获取到函数调用关系和各个函数中参数传递的关系，因此需要先构建函数调用集合。函数调用集合由静态分析技术针对污点汇聚点污点汇聚点函数的扫描后给出。静态分析过程中，从指定的程序入口地址出发，以深度优先方式遍历被调函数并验证被调函数是否属于污点汇聚点函数集合，并将其做封装保证通过函数名称或入口地址便能获得函数相关信息。在得到函数调用集合和程序控制流图后,参数传递关系的分析方法如下述规则表述,具体流程如图3所示：

(1)按后序遍历方式对函数调用集合进行遍历。

(2)针对函数调用集合中的每个函数,对其控制流图进行层次遍历。

(3)针对单个函数控制流图中的节点,获取节点中保存的函数参数关系记录,根据函数之间参数的依赖关系,先后在当前函数和全局变量定义列表中查找函数参数定义中引用参数的定义,若查找成功,则将对参数进行定义的函数和对其引用参数进行定义的函数作为节点、参数之间的依赖关系作为边添加到数据依赖图中,然后跳转到步骤(5)。

(4)将对该参数进行定义的函数作为节点添加到数据依赖图中。若在当前函数和全局变量定义列表中均无法找到该定义中引用参数的定义,则将该参数的定义更新到所有直接调用当前函数的父函数中。

(5)若当前函数的控制流图中某个节点的出度为0，则需要将函数内对函数参数的定义更新到所有直接调用该函数的父函数中；同时,将对全局变量的定义更新到全局变量定义列表中。

(6)若控制流图遍历完毕,则跳转到步骤(7)；否则跳转到步骤(2)。

(7)若控制流图遍历完毕则停止,否则跳转到步骤(1)。

其中，在步骤(3)中，针对某个关键参数的定义，如果该定义中引用参数的类型为整数类型，则不查找引用参数的定义。此外，在全局变量定义列表中查找其引用参数的定义时，如果存在多个对引用参数的定义，则在对关键参数进行定义的函数和每个对其引用参数进行定义的函数之间都建立一条边。在步骤(5)，由于函数内部对函数参数的定义会影响父函数的行为，当遇到出度为0的节点时，需要更新函数参数定义，同时也要更新全局变量定义列表。

本发明的路径求解使用符号化执行的思想。符号化执行需要生成约束式并求解约束式，分析模块向后(一般来说是从下往上)遍历控制流图，直到找到第一个合并点或达到阈值块数。在此基础上，分析模块对间接跳转执行正向符号执行，并使用约束求解器检索间接跳转目标的可能值。获得求解约束式后需要使用求解模块对约束求解，求解过程如图4所示，求解器依赖符号化执行时会产生的抽象语法树，这些抽象语法树可以被解释为解析器中的约束条件。每个抽象语法树都有一个“操作”到输入参数的映射，“操作”是一个定义了要执行的运算的属性，“输入参数”是参与运算的操作数。求解器将抽象语法树遍历后转换为约束添加到约束求解器中进行约束求解。

本发明模型的具体实施流程按照如图1、图2、图3、图4；首先针对指定类型漏洞编写漏洞描述文件，在文件中描述漏洞触发的污点源、污点汇聚函数以及函数每个参数的属性。

之后系统对待分析的目标文件做静态分析。文件加载模块加载二进制文件将可执行文件中的符号与地址做映射。读入二进制文件后先通过头文件获取程序执行的相关环境信息并使用M I PS架构的分析架构解析可执行文件的机器码为中间语言，若当前二进制文件有链接到外部依赖库，则初始化时还会将依赖文件信息存入构造好的对象中。之后基于二进制文件的符号表构造全局控制流图，并且通过分析符号表从中获取分配的函数地址。

其中分析模块恢复控制流图以程序入口点的基本块来初始化图。在整个控制流图恢复期间，分析模块维持一个跳转目标尚未确定的间接跳转列表Lj。当分析识别到这样的一个跳转，就把它加入到列表Lj中。在每个迭代终止后，分析模块触发列表中的下一个。下一个技术可能解决列表Lj中的跳转，也可能向列表Lj加入新的未解决跳转，并可能会向控制流图的图中添加基本块和边。当上述过程运行后不会再使列表Lj发生更改时，分析模块将终止，这意味着不能通过任何可用的分析来解决这些间接跳转。

之后读取漏洞描述脚本中标记的污点源和污点汇聚函数，通过遍历全局控制流图找到在程序中出现的污点汇聚函数并标记。针对标记好的污点汇聚函数逐一恢复出以当前函数为起始地址的控制流图并做参数依赖分析。接下来读取污点源函数集合，从污点汇聚函数为起始地址到污点数据源处由此生成多个污点传播路径并作标记。本发明的污点标记技术包括识别污点源和污点汇聚点。本发明使用启发式的策略进行标记,进行污点标记时把来自程序外部输入的数据标记为“污点”数据,保守地认为这些数据有可能包含恶意数据。在本发明的检测模型中将污点源分为三类，这也是在设计时认定污点源的规则：

(1)入参污点：程序中函数调用之前传入的参数本身为不可信数据，属于污点。

(2)出参污点：程序中函数调用之后使用的参数也是不可信的。

(3)返回值污点：程序中函数被调用之后的返回值也不可信。

不同漏洞有其特有的汇聚点，不同类型的漏洞在M I PS架构中常出现在固件或其对应的操作系统中，考虑其使用场景将常见的汇聚点预先指定。预先指定的汇聚点是综合考虑执行开销和漏洞覆盖率后的结果。

动态分析时所使用的解路径为静态污点分析所生成的污点传播路径。分析时将模拟二进制程序在命令行带参数运行的场景，同时为了实现自动化测试将创建命令行参数列表，并且将程序名做为第一个输入参数。之后测试文件带参数并做为输入，基于符号化执行规则，函数的输入将不被赋值为确定的量而是为输入参数添加一个符号化变量用于后续求解并规定符号变量的大小。

准备工作之后，将程序的入口地址设置为解路径的起始地址，并在入口地址处初始化一个入口状态，为此需将传递给程序的同类型参数向量传递给它，同时将入口地址使用基类实例化以方便后续管理。当模型能够控制污点数据源时，便沿当前污点源的参数依赖路径找到一条路径到达污点汇聚函数，并将经过的中间语句抽象为约束条件加入到求解约束中封装在路径监督函数中，此函数将路径作为参数。同时为了能让模型找到污点传播路径中的目标地址路径，需要把参数用带返回值的路径监督函数替代。

本发明设计的发现方法进行了测试，并按照预期定位到漏洞地址并生成触发漏洞的输入。测试代码如:

所示中含有一个由malloc函数传值错误导致申请的缓冲区发生溢出的漏洞，运行结果

|Starting exploration 0x400810＝>0x400810

|Watchdog started，waiting for 999999s

|Found 1 paths；No active paths

|Applying constraints for sink：malloc

|Max used bit：32

|Satisfied state：Ox2264dc25

|Waiting for watchdog to join

显示本发现方法正确识别到漏洞函数地址0x400810和产生漏洞的函数malloc，并计算出触发溢出的传值Ox2264dc25(对应十进制数577035301)；

经过验证触发漏洞，即输入的申请空间的大小变成Oxfffffff8，且为负数会覆盖到已被使用的空间，造成一系列风险：

$qemu-miμsel-static testel-131-static

577035301

Oxfffffff8。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施案例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，采用静态分析、静态污点分析、动态分析中任意一种方式；

静态分析在不运行源码的基础上进行代码级的分析，通过对代码模块、调用关系、语法语义的分析获得程序的脉络结构；静态分析为将生成目标程序的控制流图并建模；

基于静态分析进行静态污点分析，使用污点分析的基本思想，在静态分析的基础上进行污点传播分析；污点传播分析基于静态分析中的调用、依赖关系；

动态分析力求分析程序运行时的行为，通过真实执行环境或模拟执行获得程序执行时的各种状态用于漏洞分析；动态分析用于发现静态执行对混淆或结构复杂的难以正确分析的程序块。

2.根据权利要求1所述的一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，动态分析中，通过采用抽象的符号代替精确值作为程序输入变量，得出每个路径抽象的输出结果。

3.根据权利要求1所述的一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，静态分析直接分析二进制文件，将二进制反汇编后生成中间语言同时建立基于中间语言的控制流图，通过控制流图的关系获得函数间的调用关系并根据漏洞描述文件进行静态污点分析。

4.根据权利要求1所述的一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，静态污点分析通过漏洞描述文件执行分析过程，其中漏洞描述文件中描述了引发该种漏洞的污点源和污点汇聚函数；结合污点源和汇聚函数分析出多条污点的传播路径；动态分析的分析基于污点传播路径，在传播路径上使用符号化执行技术分析可执行文件利用求解器获得最终解程序执行路径的解值。

5.根据权利要求1所述的一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，污点分析包括识别污点源和污点汇聚点，使用启发式的策略进行污点标记,进行污点标记时，把来自程序外部输入的数据统称为“污点”数据,这些数据有包含恶意数据。

6.根据权利要求1所述的一种面向MIPS架构基于混合分析技术的漏洞检测方法，其特征在于，进行污点标记时，为记录污染信息，为变量添加一个污染标签，使用一个布尔型变量表示变量是否被污染。