WO2010134325A1 - 動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置 - Google Patents

動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置 Download PDF

Info

Publication number
WO2010134325A1
WO2010134325A1 PCT/JP2010/003346 JP2010003346W WO2010134325A1 WO 2010134325 A1 WO2010134325 A1 WO 2010134325A1 JP 2010003346 W JP2010003346 W JP 2010003346W WO 2010134325 A1 WO2010134325 A1 WO 2010134325A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
function
data flow
tag
dynamic data
Prior art date
Application number
PCT/JP2010/003346
Other languages
English (en)
French (fr)
Inventor
矢野尾一男
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US13/321,753 priority Critical patent/US20120066698A1/en
Priority to JP2011514329A priority patent/JP5459313B2/ja
Publication of WO2010134325A1 publication Critical patent/WO2010134325A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/28—Error detection; Error correction; Monitoring by checking the correct order of processing

Definitions

  • the present invention relates to a dynamic data flow tracking device, a dynamic data flow tracking method, and a dynamic data flow tracking program, and more particularly, to a dynamic data flow tracking device, a dynamic data flow tracking method, and a dynamic using information related to a library specification. Data flow tracking program.
  • the method of embedding code for performance measurement, bug discovery, etc. by partially rewriting the execution code of the program at the time of execution is called binary instrumentation.
  • binary instrumentation By using the binary instrumentation technique, the user can analyze at run time how data is exchanged within the process. This data analysis method is called dynamic data flow analysis.
  • Input data refers to data read from a file, data received via a network, and the like, and a tag is information indicating the route through which the data is input.
  • tags are information indicating the route through which the data is input.
  • the program execution code is divided into units called basic blocks (Basic Block), and instrumentation is performed on the basic blocks.
  • Instrumentation is a function that reads an execution code of a program, changes the execution code by applying a predetermined process, and executes the changed execution code.
  • Non-patent document 1 is given as an example of disclosure of the instrumentation function.
  • Non-Patent Document 2 discloses a technique in which dynamic data flow analysis is applied to discovery of attacks on program vulnerabilities.
  • a type of attack such as a buffer overflow attack, that executes arbitrary code with a vulnerability of a program is executed by the following two steps. (1) The malicious code is loaded into the program from the outside mainly through the network. (2) Program control is transferred to the loaded illegal code.
  • the process uses dynamic data flow analysis to determine whether to transfer execution control to data read from an unreliable information source (for example, data reception via the Internet). And determine whether (2) has occurred. By such processing, the user can find out or prevent a buffer overflow attack.
  • Non-Patent Document 3 discloses a technique in which dynamic data flow analysis is applied to information leakage by spyware or the like. Information leakage by spyware is caused by a program sending confidential information to the outside of a network or the like against the user's intention.
  • data read from a sensitive information source such as a document file in a PC (Personal Computer) is transmitted via the Internet using dynamic data flow analysis. Information leakage is discovered by determining whether or not the output is made to an unreliable target such as.
  • dynamic data flow analysis can find information security problems.
  • the dynamic data flow analysis records the exchange of internal data one by one at the time of program execution, there is a problem that the program execution speed decreases.
  • the present invention has been made to solve such problems, and a data flow tracking method and a data flow tracking program capable of speeding up dynamic data flow analysis for a program in which a plurality of shared libraries are linked. And a data flow tracking device.
  • One aspect of the dynamic data flow tracking method is to dynamically set a data flow by setting a tag for data in a process and propagating the tag according to the passing of data in the process.
  • a specification of data passing in a function included in a shared library is defined as a signature, and the signature is referred to when a function calls the function defined by the signature.
  • tag propagation in the function is omitted.
  • a dynamic data flow tracking method capable of speeding up dynamic data flow analysis for a program in which a plurality of shared libraries are linked. it can.
  • FIG. 1 is a block diagram of a dynamic data flow analysis apparatus according to a first embodiment.
  • 1 is a block diagram of a dynamic data flow analysis apparatus according to a first embodiment.
  • FIG. 3 is a conceptual diagram illustrating code embedding in a basic block according to the first embodiment.
  • FIG. 3 is an API signature diagram according to the first embodiment;
  • FIG. 3 is a diagram of an API address map according to the first embodiment.
  • FIG. 3 is a diagram of a shared library address list according to the first exemplary embodiment.
  • 3 is a flowchart showing a code embedding process in a basic block according to the first embodiment; 4 is an example of a function call code of a shared library according to the first exemplary embodiment.
  • FIG. 3 is an execution code according to the first exemplary embodiment;
  • FIG. 3 is a conceptual diagram illustrating code embedding in a basic block according to the first embodiment.
  • FIG. 3 is an API signature diagram according to the first embodiment
  • FIG. 3 is a diagram of an
  • FIG. 3 is a diagram of an execution code in which an API tracking code according to the first embodiment is embedded.
  • FIG. 3 is a block diagram of a dynamic data flow analyzing apparatus according to a second embodiment. It is a figure of the basic block concerning Embodiment 2.
  • FIG. 10 is a flowchart of basic block generation according to the second exemplary embodiment; 12 is a flowchart of full tracking code generation processing according to the second exemplary embodiment;
  • FIG. 10 is a diagram of an execution code in which a function call embedding process according to a second embodiment is performed.
  • FIG. 6 is a block diagram of a dynamic data flow analyzing apparatus according to a third embodiment.
  • 10 is a flowchart of conservative function call processing embedding processing according to the third embodiment;
  • FIG. 12 is a diagram of an execution code that has undergone conservative function call processing embedding processing according to the third embodiment;
  • 10 is a flowchart of conservative function call processing embedding processing according to the fourth embodiment;
  • Embodiment 1 Embodiments of the present invention will be described below with reference to the drawings.
  • the dynamic data flow analysis apparatus 100 according to the first exemplary embodiment of the present invention is configured to include a dynamic data flow analysis process adding unit 107 and a storage unit 108.
  • the dynamic data flow analysis apparatus according to the present embodiment sets a tag indicating the data acquisition route for data in the process, and propagates the tag according to the delivery of the data in the process. It tracks data flow dynamically.
  • the storage unit 108 stores a signature in which a specification of data passing in a function (user code) included in the shared library is defined.
  • the dynamic data flow analysis processing adding unit 107 refers to a signature when calling a function defined by a signature (hereinafter also referred to as an API (Application Program Interface) signature) from a program. At least a part of the propagation of the tag is omitted, and preferably the tag is propagated in a lump.
  • the dynamic data flow analysis process adding unit 107 adds a tag propagation process before or after the function call or to the call destination function when the function is called. In this embodiment, an example in which tags are propagated collectively will be described. However, by omitting at least a part of tag propagation, processing generated according to tag propagation processing is reduced and speeded up. can do.
  • the dynamic data flow analysis apparatus 100 illustrated in FIG. 1 can be described as the dynamic data flow analysis apparatus 100 illustrated in FIG.
  • the dynamic data flow analysis apparatus 100 can be configured as software executed by a computer that operates under program control, for example, a central processing unit (CPU: Central Processing Unit, not shown in FIG. 2).
  • the dynamic data flow analysis apparatus 100 includes an operating system 101, an instrumentation unit 102, an application program 103, a shared library analysis unit 104, a dynamic data flow analysis processing addition unit 107, and an API knowledge storage unit. 108.
  • the dynamic data flow analysis process addition unit 107 in FIG. 1 corresponds to the dynamic data flow analysis process addition unit 107 in FIG.
  • the storage unit 108 in FIG. 1 corresponds to the API knowledge storage unit 108 in FIG.
  • the operating system 101 is software that provides application software with an interface that abstracts hardware in a computer, and is a kind of basic software.
  • the instrumentation unit 102 reads the execution code of the application program 103 and divides it into basic blocks. In addition, the instrumentation unit 102 uses the dynamic data flow analysis processing adding unit 107 to make a change to add the dynamic data flow analysis processing to the basic block, and the changed basic block is changed to the instrumentation unit. The data is stored in the data cache in 102.
  • Application program 103 is an arbitrary program executed on the PC.
  • the shared library analysis unit 104 receives the execution code loaded by the instrumentation unit 102 and the shared library information linked to the execution code as inputs.
  • the shared library analysis unit 104 outputs an API address map 105 and a shared library address list 106 based on the input and information in the API knowledge storage unit 108.
  • the dynamic data flow analysis processing adding unit 107 includes a data tracking code embedding unit 1071 and an API data tracking code embedding unit 1072.
  • the dynamic data flow analysis process adding unit 107 receives a basic block from the instrumentation unit 102 as an input. Further, the dynamic data flow analysis processing adding unit 107 sets the dependency of data input / output to the basic block based on the API address map 105, the shared library address list 106, and the information in the API knowledge storage unit 108. A code for detection is generated, and the code is embedded in the basic block. Thereafter, the dynamic data flow analysis processing adding unit 107 outputs the generated basic block to the instrumentation unit 102.
  • the API knowledge storage unit 108 stores information related to the API signature.
  • the API signature indicates information related to the API of the function of the shared library called from the program.
  • This API signature is information defining which API function can cause what kind of data flow (data transfer) between an argument and a return value.
  • the API signature includes information for identifying an API function such as a module name and a function name, and information defining what kind of data flow (data transfer) is caused by calling the API function.
  • the API function is a function defined in the API signature. In this embodiment, it is assumed that all functions included in the shared library are defined in the API signature. That is, in this embodiment, all functions of the shared library are API functions.
  • the dynamic data flow analysis apparatus 100 is described as software realized by causing a CPU to execute a computer program, but may be realized as hardware.
  • the computer program executed by the CPU can be provided by being recorded on a recording medium, or can be provided by being transmitted via the Internet or other communication media.
  • the storage medium includes, for example, a flexible disk, a hard disk, a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD, a ROM cartridge, a battery-backed RAM memory cartridge, a flash memory cartridge, and a nonvolatile RAM cartridge.
  • the communication medium includes a wired communication medium such as a telephone line, a wireless communication medium such as a microwave line, and the like.
  • the loader reads the execution code of the program and the execution code of the shared library to which the program is linked. Then, the loader transfers control to the execution start position of the program, and starts executing the program code itself read into the memory.
  • the instrumentation unit 102 performs the following processing.
  • the instrumentation unit 102 calls the shared library analysis unit 104 when the execution code of the program and the execution code of the shared library are read. The processing of the shared library analysis unit 104 will be described later.
  • the instrumentation unit 102 reads the execution code into the memory.
  • the instrumentation unit 102 extracts a basic block 1031 that is a group of execution codes from the execution start position of the execution code. Thereafter, the instrumentation unit 102 calls the dynamic data flow analysis processing addition unit 107 to cause the basic block 1031 to perform the process defined by the dynamic data flow analysis processing addition unit 107.
  • the dynamic data flow analysis processing adding unit 107 embeds the dynamic data flow analysis processing in the basic block 1031 and moves the generated basic block 1031 to the instrumentation unit 102.
  • the instrumentation unit 102 transfers control to the generated basic block 1031 and executes the basic block 1031.
  • the instrumentation unit 102 stores the generated basic block 1031 in the code cache 1021.
  • the control is transferred to the converted basic block 1031 stored in the code cache 1021.
  • the code embedding process which takes a long processing time is made to occur only once in principle.
  • the call destination is not transferred to the instrumentation unit 102 once. Decreasing the execution speed of the application by applying various known acceleration means such as rewriting the basic block 1031 in the code cache 1021 that is the call source so as to branch directly to the basic block 1031 in the code cache 1021 Can be suppressed.
  • the instrumentation unit 102 performs the above basic block conversion process on all the basic blocks 1031.
  • API signature stored in the API knowledge storage unit 108 will be described with reference to FIG.
  • functions called GetProcAddress and MultiByteToWideChar implemented in a DLL called kernel32.dll, which is a shared library, and information on the data flow of the function are defined.
  • the shared library analysis unit 104 is called when the instrumentation unit 102 loads a basic block of the application program 103 or a shared library (DLL) linked to the basic block of the application program 103 onto the memory.
  • the shared library analysis unit 104 enumerates API functions called by the loaded basic block and shared library, and defines the API defined in the API knowledge storage unit 108 and its start address, that is, the function name of the API function and its start. Create a correspondence table with addresses. This correspondence table is called an API address map 105.
  • the API address map 105 includes the name of an API function defined in the API knowledge storage unit 108 among API functions that are directly called from the application program 103 to be executed or indirectly through another API function.
  • the start address pair is saved (FIG. 5).
  • the shared library analysis unit 104 In addition to generating the API address map 105, the shared library analysis unit 104 also generates a shared library address list 106, which is a set of pairs of start addresses and end addresses of all loaded shared libraries (FIG. 6).
  • FIG. 7 is a flowchart showing an operation when the dynamic data flow analysis process adding unit 107 performs the code embedding process on the basic block 1031.
  • the dynamic data flow analysis processing adding unit 107 is between the start address and end address of any pair in which the start address of the basic block 1031 read by the instrumentation unit 102 is stored in the shared library address list 106. (S701). If it is included (S701: Yes), the dynamic data flow analysis process adding unit 107 recognizes that the process is in the shared library, does not perform the code embedding process in the basic block 1031, and ends the process.
  • the dynamic data flow analysis processing adding unit 107 takes out the first instruction of the basic block.
  • the extracted instruction is a data movement instruction (S702: Yes)
  • the dynamic data flow analysis process adding unit 107 embeds a code for propagating the tag from the data movement source to the movement destination (S703). Since this process is a known technique in Non-Patent Document 2 and the like, details are omitted.
  • the data movement instruction indicates copying / addition / subtraction between registers, loading from a memory to a register, storing from a register to a memory, push / pop to a stack, and the like.
  • the dynamic data flow analysis processing adding unit 107 determines whether or not the instruction is a call instruction (function call instruction) (S704). If it is a call instruction (S704: Yes), the dynamic data flow analysis process adding unit 107 performs an API data tracking code embedding process (S705).
  • the dynamic data flow analysis processing adding unit 107 stores the API function identifier and the argument value immediately before the call instruction in the thread local area (this value is saved in the stack). Embed the code that temporarily saves.
  • the dynamic data flow analysis processing adding unit 107 stores data stored in the thread local area after the call instruction (argument value and API signature information stored immediately before the call instruction). ) Embed code that implements tag propagation based on Details of the code embedded by the API data tracking code embedding process (S705) will be described with reference to FIGS. 8A, 8B, and 9. FIG.
  • FIG. 8A is an example of calling MultiByteToWideChar, which is a function of a shared library.
  • This shared library function call is executed on the x86 architecture, an execution code as shown in FIG. 8B is obtained.
  • the execution code in FIG. 9 is an example in the case where the dynamic data flow analysis process adding unit 107 embeds the API tracking code in the execution code in FIG. 8B.
  • the embedded API tracking code is described in a C language format surrounded by ⁇ .
  • the contents of the address of the call instruction are inspected immediately before the call instruction, and it is determined whether or not the address is defined in the API address map (FIG. 5).
  • the parameter of the call instruction is the indirect address [0041A2090]
  • the contents of the address “0041A2090” are inspected immediately before the call instruction, and whether or not the address is defined in the API address map (FIG. 5). Is determined (S901).
  • the address of the call instruction is defined in the API address map
  • the fact that the API function is called is recorded in the thread local area (S902).
  • the API signature (FIG. 4) corresponding to the called function the contents of the data flow appearing in the API signature are stored in the thread local area (S903).
  • the address of the call instruction is equal to the MultiByteToWideChar address “0x7C809BF8”
  • the MultiByteToWideChar is called in the thread local area (S902).
  • the third argument and the fifth argument passed to MultiByteToWideChar are stored in an array called TLS in the thread local area (S903).
  • get_tag (x) is a function that reads a tag corresponding to the address x
  • set_tag (x, t) represents a function that changes the value of the tag corresponding to the address x to t.
  • TLS [1] and TLS [2] stored in the thread local area are referred to (S906). Thereafter, tag propagation processing is performed based on the referenced data TLS [1] and TLS [2] (S907).
  • the dynamic data flow analysis process addition unit 107 embeds the API data tracking code inline before and after the call instruction.
  • the tracking process may be combined into a function and the function may be called. .
  • the overhead of function calls is added, but the code size of the entire code is reduced.
  • the determination in S901 is shown by a linear search, but is not limited to this.
  • a search unit such as a hash.
  • the dynamic data flow analysis process adding unit 107 performs the above process (S702 to S705) for all instructions included in the basic block (S706).
  • the tag propagation processing is performed immediately after the function call according to the API signature without performing the tag propagation processing one by one.
  • the tag propagation process is not performed sequentially, but the tag propagation process is not performed inside the API function by performing it all at once (performing the tag propagation in a lump).
  • the execution speed of dynamic data flow analysis can be increased.
  • the target shared library is relatively small, an API signature can be defined for all functions implemented in the shared library, and the functions implemented in the shared library This is especially effective when there is no callback to the user-written code.
  • Embodiment 2 The second embodiment of the present invention is characterized in that two types of code are embedded in a basic block and the execution code is switched during execution.
  • the configuration of the dynamic data flow analysis apparatus according to this embodiment is shown in FIG.
  • the dynamic data flow analysis process adding unit 107 includes an API internal determination process embedding unit 1073, a return process embedding unit 1074, and a function call process embedding unit. 1075, a data tracking code embedding unit 1076, and an API stack 1077.
  • the operation of the dynamic data flow analysis apparatus 100 in this configuration will be described with respect to differences from the first embodiment.
  • Embodiment 1 all functions in the shared library are defined in the API signature.
  • some functions in the shared library are API signatures.
  • only some functions defined in the API signature among the functions in the shared library are API functions.
  • the user code refers to a program other than the API function, that is, a program such as a function that is not defined in the API signature.
  • the API stack 1077 is created in the thread local area when the program is executed.
  • the API stack 1077 stores the history of the called function in the stack data format.
  • the API stack 1077 holds an identifier of an API function or an identifier representing a user code.
  • the API stack 1077 stores one identifier indicating that it is a user code in the initial state.
  • the instrumentation unit 102 embeds two types of codes in the basic block.
  • the two types of code are appropriately switched and executed.
  • the execution code is switched based on whether or not the identifier of the record stored at the top of the API stack 1077 represents a user code.
  • a basic block executed when representing a user code is called a full tracking code, and a code executed when representing an identifier of an API function is called an API tracking code.
  • FIG. 11 shows an example of a basic block generated by this embodiment and a flow of its processing.
  • “API internal determination processing” described in FIG. 11 is an instruction for examining the identifier of a record stored at the top of the API stack 1077.
  • the conditional branch instruction immediately after the “API internal determination process” represents a branch that is true when the result of the “API internal determination process” is user code.
  • the dynamic data flow analysis process adding unit 107 extracts an instruction from the basic block and determines the type of instruction.
  • the instruction type is a data movement instruction (S1301: Yes)
  • the data tracking code embedding unit 1076 executes a data tracking code embedding process (S1303).
  • the instruction type is a call instruction (S1304: Yes)
  • the function call process embedding unit 1075 executes a function call process embedding process (S1305).
  • the return process embedding unit 1074 executes a return process embedding process (S1307).
  • the data tracking code embedding process (S1303) is the same process as in the first embodiment. Details of the function call process embedding process (S1305) and the return process embedding process (S1307) will be described below.
  • the function call process embedding process is different from the API data tracking code embedding process (FIG. 7) of the first embodiment, and the following process is performed.
  • an identifier representing a user code is stored at the top of the API stack 1077, it is determined whether or not the value at the time of execution of the call destination address of the call instruction is a value defined in the API address map (FIG. 4). If defined, pushes a record consisting of an API function identifier, the next address (return address) of the call instruction, and the value of the argument immediately before the call instruction (stored in the stack) onto the API stack 1077 Embed the code to do.
  • the API stack 1077 When an identifier representing an API function is stored at the top of the API stack 1077, whether or not the value at the time of execution of the call destination address of the call instruction is included in the address area stored in the shared library address list is determined. judge. When it is not included in the address area, that is, when it is determined as a user code, the API stack 1077 has a record including an identifier indicating that it is a user code and a next address (return address) of the call instruction. Embed the code to push.
  • the function call processing embedding unit 1075 does not embed code after the call instruction.
  • tag propagation is performed based on the value of the argument stored in the record and the data flow information of the API signature specified by the identifier. I do.
  • the dynamic data flow analysis processing adding unit 107 performs the above processing (S1301 to S1307) for all the instructions included in the basic block (S1308).
  • the code shown in FIG. 14 is an example of the execution code after the function call embedding process is performed on the execution code shown in FIG. 8B.
  • an identifier representing the API function is stored at the top of the API stack 1077 (S1403), it is determined whether the call destination of the call instruction is in the shared library address space. If not included, it is regarded as a callback to the user code, and the identifier representing the user code and the address next to the call instruction are stored in the API stack 1077 (S1404).
  • a function called “is_dll” is called, and by referring to the shared library address list 106 in the “is_dll” function, it is determined whether or not the call instruction call destination is included in the shared library address space. judge. In the present embodiment, it is assumed that the shared library address list 106 holds addresses related to API functions.
  • the return process embedding process will be specifically described with reference to FIG.
  • the code shown in FIG. 15 is an example of the execution code after the return process embedding process is performed on the execution code of the call destination function.
  • the return address stored in the API stack 1077 is referenced immediately before the return instruction ret (S1504), and is it the same as the return destination of the ret instruction (stored in the stack pointer esp)? It is determined whether or not (S1501). If it is determined that they are the same, the record is popped from the API stack 1077 (S1502). Further, when the identifier stored in the record represents an API function, tag propagation processing based on the data flow information defined in the API signature of the API function is performed in the same manner as in the first embodiment. (S1503).
  • FIG. 16 is a flowchart showing the operation of generating the API tracking code. Compared to the operation of generating the full tracking code of FIG. 13, the difference is that nothing is executed in the case of a data movement instruction. That is, in the API tracking code, the data tracking code embedding process (S1303) is not performed. Therefore, in the API tracking code, tag propagation processing is not embedded at the time of a data movement command. The other processing (S1601 to S1608) is the same operation as when generating the full tracking code.
  • tag propagation processing is not performed in the API tracking code. Therefore, in this embodiment, the tag propagation process in the function defined in the API signature can be omitted, and the execution speed of the dynamic data flow analysis is increased.
  • the API stack 1077 is used to determine whether a function (API function) defined in the API signature is being called. Therefore, when only a part of the functions in the shared library is defined in the API signature, the API tracking code is executed when the defined function is executed. On the other hand, when a function that is not defined is executed, a full tracking code is executed, and a tag propagation process is performed by the code added by the data tracking code embedding process (S1303). Therefore, even if an API signature is defined only for a part of functions implemented in the shared library, it operates correctly. Since the API stack includes an identifier indicating whether or not user code is being executed, the API stack operates correctly even when the API has a callback to the user code. However, the price is lower than that of the first embodiment because the processing is more complicated than that of the first embodiment.
  • a function of a shared library that passes data to the callback function cannot be defined in the API signature. If such a function is defined, tag propagation processing is not performed within the function, and the data flow from the function to the callback is not tracked.
  • Embodiment 3 The third embodiment of the present invention has a conservative function call processing embedding unit 1078 instead of the function call processing embedding unit 1075 of the second embodiment as shown in FIG.
  • the conservative function call processing embedding unit 1078 embeds conservative function call processing.
  • FIG. 18 is a flowchart showing an operation in which the conservative function call process embedding unit 1078 embeds the conservative function call process.
  • the conservative function call process embedding process is different from that of the second embodiment in the process of S1803 in FIG. That is, it is different in that it is determined whether the tag of the argument that is the tag propagation source is a default value, that is, an initial value (clean), and the processing is changed based on the determination result.
  • Other processes S1801, S1802, S1804 to S1806) are the same as those in the second embodiment.
  • the API signature of the function is referred to, and the tag of the argument that is the tag propagation source is the default value (clean ) Is determined (S1803). If it is determined to be the default value, the API function identifier, return address, and argument are pushed onto the API stack 1077 (S1804).
  • the execution code shown in FIG. 19 is an example when the conservative function call processing embedding unit 1078 embeds the conservative function call processing in the execution code of FIG. 8B.
  • the propagation source of the tag of the function MultiByteToWideChar is defined as only arg2 (third argument). Therefore, a tag corresponding to the address (esp-2 * 4) of arg2 is acquired, and when the value is a default value (S1901, “0” in FIG. 19), a record is pushed onto the API stack 1077.
  • Embodiment 4 In the fourth embodiment of the present invention, a flag indicating whether or not data transfer by callback occurs is added to the API signature.
  • the operation of the dynamic data flow analysis apparatus 100 in this configuration will be described with reference to the flowchart of FIG. 20 for parts that are different from the third embodiment.
  • the API signature holds a flag indicating whether or not data can be transferred by callback.
  • this flag is referred to (S2007), and if the flag exists, it is considered that no data is transferred by the callback even if the tag is not clean.
  • an API function identifier, a return address, and an argument are pushed onto the API stack.
  • Other processes (S2001 to S2006) are the same as those in the third embodiment.
  • the API tracking code is executed more frequently than in the third embodiment. Therefore, the processing speed can be improved.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Stored Programmes (AREA)

Abstract

　多くの共有ライブラリをリンクしたプログラムに対する動的データフロー解析を高速化できるデータフロー解析方法、データ解析プログラム、およびデータフロー解析装置を提供する。共有ライブラリに含まれる関数内のデータ受け渡しの仕様をシグネチャとして定義し、格納部（１０８）に格納する。プログラムからのシグネチャで定義された関数への呼び出しの際に、格納部（１０８）が保持するシグネチャを参照することにより、呼び出し先での関数内でのタグの伝播の少なくとも一部を省略する。

Description

動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置
　本発明は、動的データフロー追跡装置、動的データフロー追跡方法および動的データフロー追跡プログラムに関し、特にライブラリの仕様に関する情報を用いる動的データフロー追跡装置、動的データフロー追跡方法および動的データフロー追跡プログラムに関する。
　プログラムの実行コードを実行時に一部書き換え、性能測定やバグ発見等のためのコードを埋め込む手法をバイナリインスツルメンテーションと呼ぶ。バイナリインスツルメンテーション技術を用いることにより、ユーザはプロセス内部でどのようにデータがやり取りされているかを実行時に解析することが可能となる。このデータ解析手法を動的データフロー解析と呼ぶ。
　動的データフロー解析では、実行中のプログラムのプロセスにおいて、入力されたデータにある数値を付加する。この数値を「タグ」と呼ぶ。入力されたデータとは、ファイルから読み込まれたデータやネットワーク経由で受信したデータ等を指し、タグとは、当該データがどのような経路で入力されたかを示す情報である。動的データフロー解析では、プロセス内部でタグの付加されたデータがレジスタやメモリ上でコピーされるたびに、そのデータに付加されたタグも同時に伝播する（コピーする）。これにより、入力されたデータがどのような入力に由来したか否かを判定できる。
　動的データフロー解析では、プログラムの実行コードを基本ブロック（Basic Block）と呼ばれる単位に分割し、基本ブロックに対してインスツルメンテーションを行う。インスツルメンテーションとは、プログラムの実行コードを読み込み、その実行コードに対して、ある所定の処理を加えて変更し、その変更した実行コードを実行する機能である。インスツルメンテーション機能の開示例として、非特許文献１が挙げられる。
　動的データフロー解析を情報セキュリティに適応することにより、ユーザはプログラムの脆弱性に対する攻撃や、プログラム実行時の情報漏えいを発見することができる。
　非特許文献２には、動的データフロー解析をプログラムの脆弱性に対する攻撃の発見に適用した技術が開示されている。バッファオーバーフロー攻撃に代表される、プログラムの脆弱性をついて任意のコードを実行させるタイプの攻撃は、以下の２段階のステップにより実行される。
（１）主にネットワークを通じて、外部から不正コードがそのプログラム内にロードされる。
（２）プログラムの制御が、ロードされた不正コードに移る。
　非特許文献２に開示の技術では、動的データフロー解析を用いて、プロセスは信頼できない情報源（たとえば、インターネット経由のデータ受信等）から読み込んだデータに対して実行制御を移すか否かを判定し、（２）が生じたか否かを判定する。このような処理により、ユーザは、バッファオーバーフロー攻撃を発見することや、防止することができる。
　また、非特許文献３には、動的データフロー解析をスパイウェア等による情報漏えいに適用した技術が開示されている。スパイウェアによる情報漏えいは、ユーザの意図に反してプログラムが機密情報をネットワーク等の外部に送信することにより引き起こされる。非特許文献３に開示の技術では、動的データフロー解析を用いて、プロセスがＰＣ（Personal Computer）内の文書ファイル等の機密度の高い情報元から読み込んだデータを、インターネット経由等のデータ送信等の信頼できない対象に対して出力したか否かを判定することにより、情報漏えいを発見する。
　上述のように、動的データフロー解析は、情報セキュリティ上の問題を発見することが可能である。しかし、動的データフロー解析はプログラム実行時に内部データのやり取りを逐一記録していくため、プログラム実行速度が低下するという課題がある。
　この課題に対して、いくつかのプログラム実行高速化手法が提案されている。非特許文献４に開示の技術では、基本ブロックの実行開始時に、その基本ブロック内で使用されるレジスタがクリーン（機密情報に由来しない状態）であれば、メモリからレジスタへのロードを除いて、データのトレース処理を省略したコード（Fast Pathコード）を実行する。一方、その基本ブロック内で使用されるレジスタがクリーンでない場合、データのトレース処理を埋め込んだコード（Track Pathコード）を実行する手法を提案している。
Chi-keung Luk, Robert Cohn, Robert Muth, Harish Patil, Artur Klauser, Geoff Lowney, Steven Wallace, Vijay Janapa, Reddi Kim Hazelwood, Pin: Building customized program analysis tools with dynamic instrumentation,　In Programming Language Design and Implementation, Chicago, IL, June 2005. James Newsome, Dawn Song, Dynamic Taint Analysis for Automatic Detection, Analysis, and Signature Generation of Exploits on Commodity Software, NDSS 2005. Neil Vachharajani, Matthew J. Bridges, Jonathan Chang, Ram Rangan, Guilherme Ottoni, Jason A. Blome, George A. Reis, Manish Vachharajani, and David I. August, RIFLE: An Architectural Framework for User-Centric Information-Flow Security, ACM/IEEE International Symposium on Microarchitecture (MICRO'04) 2004. Feng Qin, Cheng Wang, Zhenmin Li, Ho-seop Kim, Yuanyuan Zhou, and Youfeng Wu, LIFT: A Low-Overhead Practical Information Flow Tracking System for Detecting Security Attacks, ACM/IEEE International Symposium on Microarchitecture (MICRO'06), 2006.
　しかしながら、クライアントマシンで実行されるアプリケーションでは、多くのＤＬＬ（Dynamic Link Library）等の共有ライブラリがプログラムにリンクされている。このため、動的データフロー解析では、このようなプログラムを解析する場合、プログラムにリンクされた共有ライブラリ内のデータ授受を逐一追跡する必要があり、実行速度の低下が特に問題となる。
　本発明は、このような問題点を解決するためになされたものであり、複数の共有ライブラリをリンクしたプログラムに対する動的データフロー解析を高速化することができるデータフロー追跡方法、データフロー追跡プログラム、およびデータフロー追跡装置を提供することを目的とする。
　本発明にかかる動的データフロー追跡方法の一態様は、プロセス内のデータに対してタグを設定し、前記プロセス内のデータの受け渡しに応じてタグを伝播させることにより、動的にデータフローを追跡する動的データフロー追跡方法において、共有ライブラリに含まれる関数内のデータ受け渡しの仕様をシグネチャとして定義し、プログラムからの前記シグネチャで定義された関数への呼び出しの際に、前記シグネチャを参照することにより、前記関数内でのタグの伝播の少なくとも一部を省略するものである。
　本発明により、複数の共有ライブラリをリンクしたプログラムに対する動的データフロー解析を高速化することができる動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置を提供することができる。
　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
実施の形態１にかかる動的データフロー解析装置のブロック図である。 実施の形態１にかかる動的データフロー解析装置のブロック図である。 実施の形態１にかかる基本ブロックへのコード埋め込みを表す概念図である。 実施の形態１にかかるＡＰＩシグネチャの図である。 実施の形態１にかかるＡＰＩアドレスマップの図である。 実施の形態１にかかる共有ライブラリアドレスリストの図である。 実施の形態１にかかる基本ブロックへのコード埋め込み処理を示すフローチャートである。 実施の形態１にかかる共有ライブラリの関数呼び出しコードの例である。 実施の形態１にかかる実行コードの図である。 実施の形態１にかかるＡＰＩ追跡コードの埋め込まれた実行コードの図である。 実施の形態２にかかる動的データフロー解析装置のブロック図である。 実施の形態２にかかる基本ブロックの図である。 実施の形態２にかかる基本ブロック生成のフローチャートである。 実施の形態２にかかるフル追跡コード生成処理のフローチャートである。 実施の形態２にかかる関数コール埋め込み処理が行われた実行コードの図である。 実施の形態２にかかるリターン処理埋め込み処理が行われた実行コードの図である。 実施の形態２にかかるＡＰＩ内追跡コード生成処理のフローチャートである。 実施の形態３にかかる動的データフロー解析装置のブロック図である。 実施の形態３にかかる保守的関数コール処理埋め込み処理のフローチャートである。 実施の形態３にかかる保守的関数コール処理埋め込み処理が行われた実行コードの図である。 実施の形態４にかかる保守的関数コール処理埋め込み処理のフローチャートである。
　実施の形態１
　以下、図面を参照して本発明の実施の形態について説明する。
まず、図１を参照して、本発明の実施の形態１にかかる動的データフロー解析装置の概要について説明する。本発明の実施の形態１にかかる動的データフロー解析装置１００は、動的データフロー解析処理追加部１０７と、格納部１０８とを備える構成である。本実施の形態にかかる動的データフロー解析装置は、プロセス内のデータに対して、そのデータの入手経路を示すタグを設定し、プロセス内のデータの受け渡しに応じてタグを伝播させることにより、動的にデータフローを追跡するものである。
　格納部１０８は、共有ライブラリに含まれる関数（ユーザーコード）内のデータ受け渡しの仕様が定義されたシグネチャを格納する。動的データフロー解析処理追加部１０７は、プログラムからの、シグネチャ（以下、ＡＰＩ（Application Program Interface）シグネチャともいう）で定義された関数への呼び出しの際に、シグネチャを参照することにより、関数内でのタグの伝播の少なくとも一部を省略させ、好ましくはタグを一括して伝播させる。ここで、本実施の形態にかかる動的データフロー解析処理追加部１０７は、関数の呼び出しの際に、タグの伝播処理を関数呼び出しの前後又は呼び出し先の関数に追加する。なお、本実施の形態においては、タグを一括して伝播する例について説明するが、タグの伝播の少なくとも一部を省略することで、タグの伝搬処理に応じて生ずる処理を低減し、高速化することができる。
　次に図２を用いて、本発明の実施の形態１にかかる動的データフロー解析装置の構成の詳細について説明する。図１に示す動的データフロー解析装置１００は、具体的には、図２に示す動的データフロー解析装置１００のように記載することができる。この動的データフロー解析装置１００は、プログラム制御により動作するコンピュータ、例えば中央処理装置（ＣＰＵ：Central Processing Unit、図２中では図示を省略する）が実行するソフトウェアとして構成することができる。この動的データフロー解析装置１００は、オペレーティングシステム１０１と、インスツルメンテーション部１０２と、アプリケーションプログラム１０３と、共有ライブラリ解析部１０４と、動的データフロー解析処理追加部１０７と、ＡＰＩ知識格納部１０８とを備える。図１における動的データフロー解析処理追加部１０７は、図２における動的データフロー解析処理追加部１０７に対応する。また、図１における格納部１０８は、図２におけるＡＰＩ知識格納部１０８に対応する。
　オペレーティングシステム１０１は、コンピュータにおいて、ハードウェアを抽象化したインターフェイスをアプリケーションソフトウェアに提供するソフトウェアであり、基本ソフトウェアの一種である。
　インスツルメンテーション部１０２は、アプリケーションプログラム１０３の実行コードを読み込み、基本ブロックに分割する。また、インスツルメンテーション部１０２は、動的データフロー解析処理追加部１０７を用いて、基本ブロックに動的データフロー解析処理を追加する変更を行い、変更された基本ブロックをインスツルメンテーション部１０２内のデータキャッシュに格納する。
　アプリケーションプログラム１０３は、ＰＣ上で実行される任意のプログラムである。共有ライブラリ解析部１０４は、インスツルメンテーション部１０２がロードした実行コードと、実行コードにリンクされた共有ライブラリの情報とを入力として受け付ける。共有ライブラリ解析部１０４は、前記入力と、ＡＰＩ知識格納部１０８内の情報とを基に、ＡＰＩアドレスマップ１０５と共有ライブラリアドレスリスト１０６とを出力する。
　動的データフロー解析処理追加部１０７は、データ追跡コード埋め込み部１０７１と、ＡＰＩデータ追跡コード埋め込み部１０７２とを備える。動的データフロー解析処理追加部１０７は、インスツルメンテーション部１０２から基本ブロックを入力として受け付ける。また、動的データフロー解析処理追加部１０７は、ＡＰＩアドレスマップ１０５と、共有ライブラリアドレスリスト１０６と、ＡＰＩ知識格納部１０８内の情報とを基に、基本ブロックにデータの入出力の依存関係を検出するためのコードを生成して、基本ブロックにそのコードを埋め込む。その後、動的データフロー解析処理追加部１０７は、生成した基本ブロックをインスツルメンテーション部１０２に出力する。
　ＡＰＩ知識格納部１０８は、ＡＰＩシグネチャに関する情報を格納する。ここで、ＡＰＩシグネチャとは、プログラムから呼び出される共有ライブラリの関数のＡＰＩに関する情報を示す。このＡＰＩシグネチャは、どのＡＰＩ関数が、引数と戻り値の間で、どのようなデータフロー（データの受け渡し）を起こしうるかを規定した情報である。ＡＰＩシグネチャは、モジュール名や関数名のようにＡＰＩ関数を識別する情報と、そのＡＰＩ関数の呼び出しがどのようなデータフロー（データの受け渡し）を引き起こすかを定義した情報とを備える。また、ＡＰＩ関数とは、ＡＰＩシグネチャに定義された関数を示す。本実施の形態では、共有ライブラリに含まれる関数がすべてＡＰＩシグネチャに定義されているものとする。つまり、本実施の形態では、共有ライブラリの全ての関数がＡＰＩ関数となる。
　なお、動的データフロー解析装置１００は、ＣＰＵにコンピュータプログラムを実行させることにより実現するソフトウェアとして説明するが、ハードウェアとして実現してもよい。また、ＣＰＵが実行するコンピュータプログラムは、記録媒体に記録して提供することも可能であり、また、インターネットその他の通信媒体を介して伝送することにより提供することも可能である。また、記憶媒体には、例えば、フレキシブルディスク、ハードディスク、磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ、ＲＯＭカートリッジ、バッテリバックアップ付きＲＡＭメモリカートリッジ、フラッシュメモリカートリッジ、不揮発性ＲＡＭカートリッジ等が含まれる。また、通信媒体には、電話回線等の有線通信媒体、マイクロ波回線等の無線通信媒体等が含まれる。
　次に図３を用いて、主にインスツルメンテーション部１０２によって行われる、インスツルメンテーション処理の概要を説明する。
　一般にコンピュータ上でプログラムが実行されている場合、ローダはそのプログラムの実行コードと、そのプログラムがリンクしている共有ライブラリの実行コードとを読み込む。そして、ローダは、プログラムの実行開始位置に制御を移し、メモリ上に読み込まれたプログラムコードそのものの実行を開始する。
　これに対し、インスツルメンテーション部１０２は以下の処理を行う。インスツルメンテーション部１０２は、プログラムの実行コードと共有ライブラリの実行コードとが読み込まれた際に、共有ライブラリ解析部１０４を呼び出す。共有ライブラリ解析部１０４の処理は後述する。共有ライブラリ解析部１０４の処理の後、インスツルメンテーション部１０２は、実行コードをメモリ上に読み込む。インスツルメンテーション部１０２は、その実行コードの実行開始位置から、実行コードのあるまとまりである基本ブロック１０３１を取り出す。その後、インスツルメンテーション部１０２は、動的データフロー解析処理追加部１０７を呼び出し、基本ブロック１０３１に対して動的データフロー解析処理追加部１０７で定義された処理を実施させる。
　動的データフロー解析処理追加部１０７は、基本ブロック１０３１に対して動的データフロー解析処理を埋め込み、その生成した基本ブロック１０３１をインスツルメンテーション部１０２に移す。インスツルメンテーション部１０２は、生成された基本ブロック１０３１に制御を移し、その基本ブロック１０３１の実行を行う。また、インスツルメンテーション部１０２は、生成された基本ブロック１０３１をコードキャッシュ１０２１に格納する。
　以後のプログラム実行において、同じ基本ブロック１０３１を実行する必要が生じた場合、コードキャッシュ１０２１に格納された変換済みの基本ブロック１０３１に制御を移す。このように変換済みの基本ブロック１０３１をキャッシュすることによって、処理時間のかかるコード埋め込み処理は、原則として最初の１回しか生じないようにする。また、コードキャッシュ１０２１に格納された基本ブロック１０３１から、コードキャッシュ１０２１に格納された別の基本ブロック１０３１に直接分岐する場合は、一旦インスツルメンテーション部１０２に制御を移すことなく、呼び出し先のコードキャッシュ１０２１中の基本ブロック１０３１に直接分岐するように、呼び出し元となるコードキャッシュ１０２１中の基本ブロック１０３１を書き換えるなど、公知の様々な高速化手段を適用することによって、アプリケーションの実行速度の低下を抑えることができる。
　インスツルメンテーション部１０２は、上述の基本ブロック変換処理を全ての基本ブロック１０３１に対して行う。
　次に図４を用いて、ＡＰＩ知識格納部１０８に格納されたＡＰＩシグネチャについて説明する。図４記載のＡＰＩシグネチャには、共有ライブラリであるkernel32.dllというＤＬＬに実装されているGetProcAddressとMultiByteToWideCharという関数と、その関数のデータフローに関する情報とが定義されている。
　図４におけるGetProcAddressは、ＡＰＩ関数の引数間および引数と戻り値の間でデータフローを引き起こさないため、ＡＰＩシグネチャにデータフローに関する情報は定義されていない。一方、MultiByteToWideCharは、第３引数と第５引数の間でデータフローが引き起こされるので、データフローに関する情報が定義されている。このデータフローに関する情報は、MultiByteToWideCharの第５引数がＮＵＬＬではなく、かつ、戻り値が０でない場合は、第３引数に渡されたバッファの内容（先頭から、戻り値の数値分の長さの領域）が、第５引数に渡されたバッファの内容（先頭から、戻り値に２をかけた数値分の長さの領域）にコピーされることを表す。
　続いて、共有ライブラリ解析部１０４の処理について説明する。共有ライブラリ解析部１０４は、インスツルメンテーション部１０２がアプリケーションプログラム１０３の基本ブロックや、それにリンクしている共有ライブラリ（ＤＬＬ）をメモリ上にロードした際に呼び出される。共有ライブラリ解析部１０４は、ロードされた基本ブロックや共有ライブラリが呼び出しているＡＰＩ関数を列挙し、ＡＰＩ知識格納部１０８に定義されているＡＰＩとその開始アドレス、すなわちＡＰＩ関数の関数名とその開始アドレスとの対応表を作成する。この対応表をＡＰＩアドレスマップ１０５と呼ぶ。
　ＡＰＩアドレスマップ１０５は、実行対象とするアプリケーションプログラム１０３から直接あるいは他のＡＰＩ関数を介して間接的に呼び出されているＡＰＩ関数のうち、ＡＰＩ知識格納部１０８で定義されているＡＰＩ関数の名前と開始アドレスの対が保存される（図５）。
　共有ライブラリ解析部１０４は、ＡＰＩアドレスマップ１０５の生成に加え、ロードされた全ての共有ライブラリの開始アドレスと終了アドレスとの対の集合である共有ライブラリアドレスリスト１０６も生成する（図６）。
　次に、動的データフロー解析処理追加部１０７によるデータフロー解析処理追加処理について図７を用いて説明する。図７は、動的データフロー解析処理追加手段１０７が基本ブロック１０３１に対してコード埋め込み処理を行う際の動作を示すフローチャートである。
　動的データフロー解析処理追加部１０７は、インスツルメンテーション部１０２が読み込んだ基本ブロック１０３１の開始アドレスが共有ライブラリアドレスリスト１０６に格納されているいずれかの組の、開始アドレスと終了アドレスの間に含まれるか否かを判定する（Ｓ７０１）。含まれている場合（Ｓ７０１：Ｙｅｓ）、動的データフロー解析処理追加部１０７は、共有ライブラリ内での処理と認識し、当該基本ブロック１０３１にコード埋め込み処理を行わず、処理を終了する。
　一方、含まれない場（Ｓ７０１：Ｎｏ）合、動的データフロー解析処理追加部１０７は、基本ブロックの最初のインストラクションを取り出す。動的データフロー解析処理追加部１０７は、取り出したインストラクションがデータ移動命令である場合（Ｓ７０２：Ｙｅｓ）、データの移動元から移動先にタグを伝播するためのコードを埋め込む（Ｓ７０３）。この処理は、非特許文献２などで公知な手法であるため、詳細は割愛する。データ移動命令とは、レジスタ同士のコピー・加減算や、メモリからレジスタへのロード、あるいは、レジスタからメモリへのストア、スタックへのプッシュ・ポップ等を指す。
　基本ブロックから取り出したインストラクションがデータ移動命令でない場合（Ｓ７０２：Ｎｏ）、動的データフロー解析処理追加部１０７は、そのインストラクションがcall命令（関数呼び出し命令）か否かを判定する（Ｓ７０４）。call命令である場合（Ｓ７０４：Ｙｅｓ）、動的データフロー解析処理追加部１０７は、ＡＰＩデータ追跡コードの埋め込み処理を実施する（Ｓ７０５）。
　ＡＰＩデータ追跡コード埋め込み処理（Ｓ７０５）では、call命令の呼び出し先アドレスの実行時の値が、ＡＰＩアドレスマップ（図５）に定義されている値か否かを判定する。定義されている場合、動的データフロー解析処理追加部１０７は、スレッドローカル領域に、そのＡＰＩ関数の識別子と、call命令の直前の引数の値（この値は、スタックに保存されている。) を一時保存するコードを埋め込む。また、動的データフロー解析処理追加部１０７は、ＡＰＩ関数が呼び出された場合、call命令の後に、スレッドローカル領域に保存されたデータ（call命令の直前で保存した引数の値とＡＰＩシグネチャの情報）に基づいてタグの伝播を実施するコードを埋め込む。このＡＰＩデータ追跡コード埋め込み処理（Ｓ７０５）により埋め込まれたコードの詳細を図８Ａ、図８Ｂ、図９を用いて説明する。
　図８Ａは、共有ライブラリの関数であるMultiByteToWideCharの呼び出しの例である。この共有ライブラリの関数呼び出しは、x86アーキテクチャ上で実行される場合、図８Ｂのような実行コードとなる。図９の実行コードは、図８Ｂの実行コードに対して、動的データフロー解析処理追加部１０７がＡＰＩ追跡コードを埋め込んだ場合の例である。なお、理解の容易化のため、図９では、埋め込んだＡＰＩ追跡コードは{ } で囲んだＣ言語の形式で記述している。
　ＡＰＩ追跡コードでは、call命令の直前でcall命令のアドレスの内容を検査し、ＡＰＩアドレスマップ（図５）に定義されているアドレスか否かを判定する。本実施の形態では、call命令のパラメータは間接アドレス[0041A2090]であるため、call命令の直前でアドレス"0041A2090"の内容を検査し、ＡＰＩアドレスマップ（図５）に定義されているアドレスか否かを判定する（Ｓ９０１）。
　call命令のアドレスがＡＰＩアドレスマップに定義されていた場合、スレッドローカル領域に、ＡＰＩ関数が呼び出されたことを記録する（Ｓ９０２）。また、呼び出された関数に対応するＡＰＩシグネチャ（図４）に基づいて、ＡＰＩシグネチャに現れるデータフローの内容をスレッドローカル領域に保存する（Ｓ９０３）。本実施の形態では、call命令のアドレスがMultiByteToWideCharのアドレス"0x7C809BF8"と等しい場合、スレッドローカル領域にMultiByteToWideCharが呼び出されたことを記録する（Ｓ９０２）。また、スレッドローカル領域のＴＬＳという配列にMultiByteToWideCharに渡された第３引数と第５引数を保存する（Ｓ９０３）。
　call命令（Ｓ９０４）の後、スレッドローカル領域に保存されたデータを基に、ＡＰＩ関数を呼び出したか否かを判定する（Ｓ９０５）。呼び出されていた場合、呼び出されたＡＰＩ関数のＡＰＩシグネチャに基づいて、スレッドローカル領域に保存された引数の値とＡＰＩ関数の戻り値（x86の場合はeaxレジスタに保存されている）を参照し（Ｓ９０６）、タグの伝播を行う（Ｓ９０７）。ここで、get_tag(x)は、アドレスxに対応するタグを読む関数であり、set_tag(x,t)は、アドレスxに対応するタグの値をtに変更する関数を表す。
　本実施の形態では、スレッドローカル領域に保存されたデータがMultiByteToWideCharを呼び出したことを示す場合（Ｓ９０５）、スレッドローカル領域に保存されたＴＬＳ[１]，ＴＬＳ［２］を参照する（Ｓ９０６）。その後、参照したデータであるＴＬＳ[１]，ＴＬＳ［２］を基に、タグの伝播処理を行う（Ｓ９０７）。
　図９に示した例では、動的データフロー解析処理追加部１０７はcall命令の前後にＡＰＩデータ追跡コードをインラインで埋め込んだが、追跡処理を関数にまとめて、当該関数を呼び出すようにしてもよい。追跡処理を関数にまとめることにより、関数呼び出しのオーバーヘッドがかかるものの、コード全体のコードサイズは小さくなる。
　また、図９に示した実行コード例は、Ｓ９０１における判定を線形探索で示したが、これに限られるものではない。例えば、ハッシュなどの検索部を用いて判定することにより、処理の高速化が図れる。
　動的データフロー解析処理追加部１０７は、上記の処理（Ｓ７０２～Ｓ７０５）を基本ブロックに含まれる全てのインストラクションについて実施する（Ｓ７０６）。
　上記の一連の処理により、呼び出されたＡＰＩ関数の内部では、逐一タグの伝播処理をすることなく、関数呼び出しの直後にＡＰＩシグネチャに則って、タグ伝播処理を行う。このように、本実施の形態においては、タグの伝播処理を逐次行わずに、一気に行う（一括してタグの伝播を行う）ことにより、ＡＰＩ関数内部では、タグの伝播処理を行わないため、動的データフロー解析の実行速度を高速化することができる。
　本実施の形態は、対象とする共有ライブラリが比較的小さく、共有ライブラリに実装されている全ての関数に対して、ＡＰＩシグネチャを定義することができ、かつ、その共有ライブラリに実装されている関数からユーザ記載のコードへのコールバックが仕様上存在しない場合に特に有効である。
　実施の形態２
本発明の実施の形態２は、基本ブロックに２通りのコードの埋め込みを行い、実行時に実行コードを切り替えることを特徴とする。本実施の形態にかかる動的データフロー解析装置の構成を図１０に示す。本発明の実施の形態２にかかる動的データフロー解析装置１００において、動的データフロー解析処理追加部１０７は、ＡＰＩ内部判定処理埋め込み部１０７３と、リターン処理埋め込み部１０７４と、関数コール処理埋め込み部１０７５と、データ追跡コード埋め込み部１０７６と、ＡＰＩスタック１０７７とを備える。この構成における動的データフロー解析装置１００の動作について、第１の実施の形態と異なる部分を説明する。
　ここで、上述の実施の形態１においては、共有ライブラリ内の関数の全てがＡＰＩシグネチャに定義されているものとしたが、本実施の形態においては、共有ライブラリ内の関数の一部がＡＰＩシグネチャに定義されているものとする。つまり、本実施の形態においては、共有ライブラリ内の関数のうち、ＡＰＩシグネチャに定義されている一部の関数のみがＡＰＩ関数となる。また、ユーザコードとは、ＡＰＩ関数以外のプログラム、すなわちＡＰＩシグネチャに定義されていない関数等のプログラムを指す。
　ＡＰＩスタック１０７７はプログラム実行時にスレッドローカル領域に作られる。ＡＰＩスタック１０７７は、呼び出された関数の履歴をスタックのデータ形式で保存する。ＡＰＩスタック１０７７は、ＡＰＩ関数の識別子か、ユーザコードを表す識別子を保持する。ＡＰＩスタック１０７７は、初期状態においてユーザコードであることを表す識別子が一つ保存されている。
　本発明の実施の形態２では、インスツルメンテーション部１０２は、基本ブロックに２通りのコードの埋め込みを行う。プログラム実行時には、２種類のコードを適宜切り替えて実行する。実行コードの切り替えは、ＡＰＩスタック１０７７の先頭に保存されたレコードの識別子が、ユーザコードを表すものか否かを基に行う。ユーザコードを表す場合に実行される基本ブロックをフル追跡コード、ＡＰＩ関数の識別子を表す場合に実行されるコードをＡＰＩ内追跡コードと呼ぶ。
　図１１に、本実施の形態によって、生成される基本ブロックとその処理の流れの例とを示す。図１１に記載の「ＡＰＩ内部判定処理」は、ＡＰＩスタック１０７７の先頭に保存されたレコードの識別子を調べる命令である。また、「ＡＰＩ内部判定処理」直後の条件分岐命令は、「ＡＰＩ内部判定処理」の結果がユーザコードである場合に真となる分岐を表す。
　次に、図１２を用い、本実施の形態における基本ブロックの生成処理を説明する。本実施の形態での基本ブロックの生成では、最初にＡＰＩ内部判定処理を基本ブロックの先頭に埋め込む（Ｓ１２０１）。続いて、ＡＰＩ内追跡コードを生成する処理を実施し（Ｓ１２０２）、最後にフル追跡コードを生成する処理を行う（Ｓ１２０３）。
　次に図１３を用いて、フル追跡コードを生成する処理を説明する。動的データフロー解析処理追加部１０７は、実施の形態１と同様に、基本ブロックからインストラクションを取り出し、命令の種類を判定する。命令種別がデータ移動命令である場合（Ｓ１３０１：Ｙｅｓ）、データ追跡コード埋め込み部１０７６は、データ追跡コード埋め込み処理（Ｓ１３０３）を実行する。命令種別がcall命令である場合（Ｓ１３０４：Ｙｅｓ）、関数コール処理埋め込み部１０７５は、関数コール処理埋め込み処理（Ｓ１３０５）を実行する。命令種別がret命令である場合（Ｓ１３０６：Ｙｅｓ）、リターン処理埋め込み部１０７４は、リターン処理埋め込み処理（Ｓ１３０７）を実行する。データ追跡コード埋め込み処理（Ｓ１３０３）は、第１の実施の形態と同様の処理である。以下に、関数コール処理埋め込み処理（Ｓ１３０５）とリターン処理埋め込み処理（Ｓ１３０７）の詳細を示す。
　関数コール処理埋め込み処理は、実施の形態１のＡＰＩデータ追跡コード埋め込み処理（図７）と異なり、以下の処理を行う。
　ＡＰＩスタック１０７７の先頭にユーザコードを表す識別子が保存されている場合、call命令の呼び出し先アドレスの実行時の値がＡＰＩアドレスマップ（図４）に定義されている値か否かを判定する。定義されている場合、ＡＰＩスタック１０７７にＡＰＩ関数の識別子と、call命令の次のアドレス（戻りアドレス）と、call命令の直前の引数の値（スタックに保存されている)とから成るレコードをプッシュするコードを埋め込む。
　ＡＰＩスタック１０７７の先頭にＡＰＩ関数を表す識別子が保存されている場合、call命令の呼び出し先アドレスの実行時の値が、共有ライブラリアドレスリストに保存されているアドレス領域内に含まれるか否かを判定する。前記アドレス領域内に含まれない場合、すなわち、ユーザコードと判定される場合に、ＡＰＩスタック１０７７にユーザコードであることを表す識別子と、call命令の次のアドレス（戻りアドレス）とから成るレコードをプッシュするコードを埋め込む。
ＡＰＩスタック１０７７の先頭に格納された識別子の値にかかわらず、関数コール処理埋め込み部１０７５は、call命令の後にコードの埋め込みを行わない。
　続いて、リターン処理埋め込み処理において追加されるコードについて説明を行う。最初に、ＡＰＩスタック１０７７の先頭にあるレコードを検査し、レコードに保存されているアドレス（戻りアドレス）が、アプリケーションプロセスのスタックの先頭に保存されているリターン命令の戻り先と一致している場合、ＡＰＩスタック１０７７からレコードをポップする。
　ポップしたレコードに保存されている識別子が、ＡＰＩ関数を表す識別子である場合、レコードに保存された引数の値と、その識別子で特定されるＡＰＩシグネチャのデータフロー情報とに基づいて、タグの伝播を行う。
　動的データフロー解析処理追加部１０７は、以上の処理（Ｓ１３０１～Ｓ１３０７）を、基本ブロックに含まれる全てのインストラクションに対して実施する（Ｓ１３０８）。
　次に、図１４を用いて、より詳細な関数コール埋め込み処理の説明を行う。図１４に示すコードは、図８Ｂに示される実行コードに対して、関数コール埋め込み処理を実施した後の実行コードの例である。
　関数コール埋め込み処理では、ＡＰＩスタック１０７７の先頭にユーザコードを表す識別子が保存されている場合（Ｓ１４０１）、call命令の呼び出し先のアドレスがＡＰＩアドレスマップ１０５に含まれているか否かを判定する。含まれている場合、そのＡＰＩ関数の識別子と、call命令の次のアドレスと、call命令で表される関数呼び出しの引数（スタックに保存されている）とを、ＡＰＩスタック１０７７に保存する（Ｓ１４０２）。
　一方、ＡＰＩスタック１０７７の先頭にＡＰＩ関数を表す識別子が保存されている場合（Ｓ１４０３）、call命令の呼び出し先が共有ライブラリのアドレス空間内か否かを判定する。含まれない場合、ユーザコードへのコールバックとみなして、ユーザコードを表す識別子と、call命令の次のアドレスとを、ＡＰＩスタック１０７７に保存する（Ｓ１４０４）。図１４の例では、"is_dll"という関数を呼び出し、"is_dll"関数内で共有ライブラリアドレスリスト１０６を参照することにより、call命令の呼び出し先が共有ライブラリのアドレス空間内に含まれるか否かを判定する。本実施の形態では、共有ライブラリアドレスリスト１０６は、ＡＰＩ関数にかかるアドレスを保持するものとする。
　図１５を用いて、リターン処理埋め込み処理について具体的に説明する。図１５に示すコードは、呼び出し先の関数の実行コードに対して、リターン処理埋め込み処理を実施した後の実行コードの例である。
　図１５の例では、リターン命令ret（Ｓ１５０４）の直前に、ＡＰＩスタック１０７７に保存されている戻りアドレスを参照し、それがret命令の戻り先（スタックポインタespに保存されている）と同じか否かを判定する（Ｓ１５０１）。同じと判定された場合、ＡＰＩスタック１０７７からレコードをポップする（Ｓ１５０２）。さらに、そのレコードに保存された識別子がＡＰＩ関数を表すものであった場合、そのＡＰＩ関数のＡＰＩシグネチャに定義されたデータフロー情報に基づくタグの伝播処理を実施の形態１の場合と同様に行う（Ｓ１５０３）。
　図１６は、ＡＰＩ内追跡コードを生成する動作を表すフローチャートである。図１３のフル追跡コードを生成する動作と比較すると、データ移動命令の場合に何も実行しない点が異なる。つまり、ＡＰＩ内追跡コードでは、データ追跡コード埋め込みの処理（Ｓ１３０３）が行われない。従って、ＡＰＩ内追跡コードでは、データ移動命令時にタグの伝播処理が埋め込まれない。なお、他の処理（Ｓ１６０１～Ｓ１６０８）は、フル追跡コード生成時と同じ動作となる。
　上記一連の処理により、ＡＰＩ内追跡コード内では、逐一タグの伝播処理が行われない。よって、本実施の形態では、ＡＰＩシグネチャに定義された関数内でのタグ伝播処理が省略でき、動的データフロー解析の実行速度が高速化される。
　また、本実施の形態は、ＡＰＩスタック１０７７を用いて、ＡＰＩシグネチャに定義された関数（ＡＰＩ関数）が呼び出し中かを判定している。そのため、共有ライブラリ内の関数のうち、一部のみがＡＰＩシグネチャに定義されている場合、定義されている関数の実行時には、ＡＰＩ内追跡コードが実行される。一方、定義されていない関数の実行時には、フル追跡コードが実行され、データ追跡コード埋め込み処理（Ｓ１３０３）により追加されたコードによりタグの伝播処理が行われる。従って、共有ライブラリに実装されている一部の関数に対してのみＡＰＩシグネチャが定義されている場合でも正しく動作する。また、ＡＰＩスタックにはユーザコード実行中か否かを表す識別子が含まれるため、そのＡＰＩがユーザコードへのコールバックを持つ場合でも、正しく動作する。しかし、その代償として、実施の形態１よりも処理が複雑なため、実施の形態１より実行速度が低下する。
　なお、本実施の形態では、コールバック関数へデータの受け渡しをする共有ライブラリの関数を、ＡＰＩシグネチャに定義することはできない。もしそのような関数を定義すると、その関数内部ではタグの伝播処理が行われないため、当該関数からコールバックへのデータフローが追跡されなくなってしまう。
　実施の形態３
　本発明の実施の形態３は、図１７に示すように実施の形態２の関数コール処理埋め込み部１０７５の変わりに、保守的関数コール処理埋め込み部１０７８を有する。保守的関数コール処理埋め込み部１０７８は、保守的関数コール処理の埋め込みを行う。次に、本実施の形態にかかる第２の実施の形態と異なる部分の動的データフロー解析装置１００の動作について説明する。
　図１８は、保守的関数コール処理埋め込み部１０７８が保守的関数コール処理を埋め込む動作を表すフローチャートである。保守的関数コール処理埋め込み処理は、図１８のＳ１８０３の処理が実施の形態２と異なる。つまり、タグの伝播元となっている引数のタグが既定値、つまり初期値（クリーン）であるか否かを判定し、その判定結果に基づいて処理を変更している点が異なる。他の処理（Ｓ１８０１、Ｓ１８０２、Ｓ１８０４～Ｓ１８０６）は実施の形態２と同様の動作となる。
　本実施の形態では、call先のアドレスがＡＰＩアドレスマップ１０５に存在する関数の場合であっても、その関数のＡＰＩシグネチャを参照し、タグ伝播元となっている引数のタグが既定値（クリーン）かどうかを判定する（Ｓ１８０３）。既定値と判定された場合、ＡＰＩスタックに当該ＡＰＩ関数の識別子と、戻りアドレスと、引数とをＡＰＩスタック１０７７にプッシュする（Ｓ１８０４）。
　図１９が示す実行コードは、図８Ｂの実行コードに対して、保守的関数コール処理埋め込み部１０７８が保守的関数コール処理を埋め込んだ場合の例である。図４に示すＡＰＩシグネチャにおいて、MultiByteToWideCharという関数のタグの伝播元は、arg2(３番目の引数)のみと定義されている。そのため、arg2のアドレス (esp-2*4)に対応するタグを取得し、その値が既定値である場合（Ｓ１９０１、図１９では「０」）、ＡＰＩスタック１０７７にレコードをプッシュしている。
　上記一連の処理により、ＡＰＩ関数に対して、追跡すべきデータ、つまり既定値以外のタグを持つデータが渡された場合、ＡＰＩスタックへのレコードのプッシュは行わない。ＡＰＩ内部判定処理では、ＡＰＩ関数内部での処理と判定されず、フル追跡コードが実行される。そのため、ＡＰＩ関数内部でもタグの伝播が逐次行わる。これにより、当該ＡＰＩ関数内でコールバックが生じ、かつそのコールバック先の関数にデータを受け渡しても、タグの伝播が実行される。ただし、本実施の形態は、前述の実施の形態２よりもＡＰＩ内追跡コードが実行される頻度が下がるため、実行速度はやや低下する。
　実施の形態４
　本発明の実施の形態４は、ＡＰＩシグネチャに、コールバックによるデータの受け渡しが生じるか否かを示すフラグを追加するものである。この構成における動的データフロー解析装置１００の動作について、第３の実施の形態と異なる部分を図２０のフローチャートを用いて説明する。
　本実施の形態では、ＡＰＩシグネチャは、コールバックによるデータの受け渡しが生じうるか否かを示すフラグを保持する。保守的関数コール処理埋め込み処理では、このフラグを参照し（Ｓ２００７）、フラグが存在する場合、タグがクリーンでなくても、コールバックによるデータの受け渡しが生じないとみなす。この場合に、ＡＰＩスタックにＡＰＩ関数の識別子と、戻りアドレスと、引数とをプッシュする。他の処理（Ｓ２００１～Ｓ２００６）は実施の形態３と同様の動作となる。
　上記の一連の処理により、実施の形態３に比べて、ＡＰＩ内追跡コードの実行される頻度が多くなる。そのため、処理速度の向上が図れる。
　なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。
　この出願は、２００９年５月２０日に出願された日本特許出願特願２００９－１２２３４５を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (21)

  1. 　プロセス内のデータに対してタグを設定し、前記プロセス内のデータの受け渡しに応じてタグを伝播させることにより、動的にデータフローを追跡する動的データフロー追跡方法において、
    　共有ライブラリに含まれる関数内のデータ受け渡しの仕様をシグネチャとして定義し、
    　プログラムからの前記シグネチャで定義された関数への呼び出しの際に、前記シグネチャを参照することにより、前記関数内でのタグの伝播の少なくとも一部を省略する動的データフロー追跡方法。
  2. 　前記関数の呼び出しの際に、一括してタグを伝播する請求項１の動的データフロー追跡方法。
  3. 　実行中のコードである実行コードが前記共有ライブラリに含まれるか否かを判定し、この判定結果に基づき前記タグの伝播の少なくとも一部を省略する請求項１または請求項２に記載の動的データフロー追跡方法。
  4. 　メモリ上における、前記共有ライブラリのアドレス情報と前記実行コードのアドレス情報とを比較することにより、前記実行コードが前記共有ライブラリに含まれるか否かを判定する請求項３に記載の動的データフロー追跡方法。
  5. 　前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、その戻りアドレスと引数の値とを履歴情報として保存し、タグの伝播の少なくとも一部を省略する第１の状態に移行し、
    　前記第１の状態で前記シグネチャに定義されていない関数のアドレスへの関数が呼び出された場合、その戻りアドレスを履歴情報として保存し、タグの伝播を省略しない第２の状態に移行し、
    　関数呼び出しからのリターンの際に、戻り先が最新の履歴情報に含まれる戻りアドレスと一致する場合は最新の履歴情報を取り除き、かつ前記第１の状態である場合はタグの伝播の少なくとも一部を省略する請求項１または請求項２に記載の動的データフロー追跡方法。
  6. 　前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合に限り、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する請求項５に記載の動的データフロー追跡方法。
  7. 　前記シグネチャに定義されている関数から前記シグネチャに定義されていない関数へのコールバックが生じ、かつ前記シグネチャに定義されている関数に渡されたデータが前記コールバックに応じて受け渡されうるか否かの情報を前記シグネチャに定義しておき、
    　前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合、または前記タグが既定値でなく、かつコールバックに応じてデータ受け渡しがなされない場合に、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する請求項５に記載の動的データフロー追跡方法。
  8. 　プロセス内部のデータに対してタグを設定し、プロセス内のデータの受け渡しに応じてタグを伝播させることにより、動的にデータフローを追跡する動的データフロー追跡動作をコンピュータに実行させるためのプログラムであって、
    　共有ライブラリに含まれる関数内のデータ受け渡しの仕様をシグネチャとして定義し、
    　プログラムからの前記シグネチャで定義された関数への呼び出しの際に、前記シグネチャを参照することにより、前記関数内でのタグの伝播の少なくとも一部を省略する動的データフロー追跡プログラム。
  9. 　前記関数の呼び出しの際に、一括してタグを伝播する請求項８に記載の動的データフロー追跡プログラム。
  10. 　実行中のコードである実行コードが前記共有ライブラリに含まれるか否かを判定し、この判定結果に基づき前記タグの伝播の少なくとも一部を省略する請求項８または請求項９に記載の動的データフロー追跡プログラム。
  11. 　メモリ上における、前記共有ライブラリのアドレス情報と前記実行コードのアドレス情報とを比較することにより、前記実行コードが前記共有ライブラリに含まれるか否かを判定する請求項１０に記載の動的データフロー追跡プログラム。
  12. 　前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、その戻りアドレスと引数の値とを履歴情報として保存し、タグの伝播の少なくとも一部を省略する第１の状態に移行し、
    　前記第１の状態で前記シグネチャに定義されていない関数のアドレスへの関数が呼び出された場合、その戻りアドレスを履歴情報として保存し、タグの伝播を省略しない第２の状態に移行し、
    　関数呼び出しからのリターンの際に、戻り先が最新の履歴情報に含まれる戻りアドレスと一致する場合は最新の履歴情報を取り除き、かつ前記第１の状態である場合はタグの伝播の少なくとも一部を省略する請求項８または請求項９に記載の動的データフロー追跡プログラム。
  13. 　前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合に限り、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する請求項１２に記載の動的データフロー追跡プログラム。
  14. 　前記シグネチャに定義されている関数から前記シグネチャに定義されていない関数へのコールバックが生じ、かつ前記シグネチャに定義されている関数に渡されたデータが前記コールバックに応じて受け渡されうるか否かの情報を前記シグネチャに定義しておき、
    　前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合、または前記タグが既定値でなく、かつコールバックに応じてデータ受け渡しがなされない場合に、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する請求項１２に記載の動的データフロー追跡プログラム。
  15. 　プロセス内のデータに対してタグを設定し、前記プロセス内のデータの受け渡しに応じてタグを伝播させることにより、動的にデータフローを追跡する動的データフロー追跡装置において、
    　共有ライブラリに含まれる関数内のデータ受け渡しの仕様が定義されたシグネチャを格納する格納手段と、
    　プログラムからの前記シグネチャで定義された関数への呼び出しの際に、前記シグネチャを参照することにより、前記関数内でのタグの伝播の少なくとも一部を省略するタグの伝播処理を追加する動的データフロー解析処理追加手段とを備えた動的データフロー追跡装置。
  16. 　前記動的データフロー解析処理追加手段は、前記関数の呼び出しの際に、一括してタグを伝播する前記タグの伝播処理を前記関数呼び出しの前後に追加する請求項１５の動的データフロー追跡装置。
  17. 　前記動的データフロー解析処理追加手段は、実行中のコードである実行コードが前記共有ライブラリに含まれるか否かを判定し、この判定結果に基づき前記タグの伝播の少なくとも一部を省略する請求項１５または請求項１６に記載の動的データフロー追跡装置。
  18. 　前記動的データフロー解析処理追加手段は、メモリ上における、前記共有ライブラリのアドレス情報と前記実行コードのアドレス情報とを比較することにより、前記実行コードが前記共有ライブラリに含まれるか否かを判定する請求項１７に記載の動的データフロー追跡装置。
  19. 　前記動的データフロー解析処理追加手段は、
    　前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、その戻りアドレスと引数の値とを履歴情報として保存し、タグの伝播の少なくとも一部を省略する第１の状態に移行し、前記第１の状態で前記シグネチャに定義されていない関数のアドレスへの関数が呼び出された場合、その戻りアドレスを履歴情報として保存し、タグの伝播を省略しない第２の状態に移行する処理を呼び出し元のプログラムに追加し、
    　関数呼び出しからのリターンの際に、戻り先が最新の履歴情報に含まれる戻りアドレスと一致する場合は最新の履歴情報を取り除き、かつ前記第１の状態である場合は前記シグネチャを参照してタグの伝播の少なくとも一部を省略する処理を呼び出し先のプログラムに追加する請求項１５または請求項１６に記載の動的データフロー追跡装置。
  20. 　前記動的データフロー解析処理追加手段は、前記シグネチャに定義されていない関数から前記シグネチャに定義されている関数が呼び出された際に、前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合に限り、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する処理を前記呼び出し元のプログラムに追加する請求項１９の動的データフロー追跡装置。
  21. 　前記シグネチャ情報は、前記シグネチャに定義されている関数から前記シグネチャに定義されていない関数へのコールバックが生じ、かつ前記シグネチャに定義されている関数に渡されたデータが前記コールバックに応じて受け渡されうるか否かの情報を含み、
    　　前記動的データフロー解析処理追加手段は、前記シグネチャに示される、タグの伝播元となっているデータのタグが既定値である場合、または前記タグが既定値でなく、かつコールバックに応じてデータ受け渡しがなされない場合に、その戻りアドレスと引数の値とを履歴情報として保存し、前記第１の状態に移行する処理を前記呼び出し元のプログラムに追加する請求項１９の動的データフロー追跡装置。
PCT/JP2010/003346 2009-05-20 2010-05-18 動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置 WO2010134325A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/321,753 US20120066698A1 (en) 2009-05-20 2010-05-18 Dynamic data flow tracking method, dynamic data flow tracking program, and dynamic data flow tracking apparatus
JP2011514329A JP5459313B2 (ja) 2009-05-20 2010-05-18 動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2009-122345 2009-05-20
JP2009122345 2009-05-20

Publications (1)

Publication Number Publication Date
WO2010134325A1 true WO2010134325A1 (ja) 2010-11-25

Family

ID=43126018

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/003346 WO2010134325A1 (ja) 2009-05-20 2010-05-18 動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置

Country Status (3)

Country Link
US (1) US20120066698A1 (ja)
JP (1) JP5459313B2 (ja)
WO (1) WO2010134325A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014185165A1 (ja) * 2013-05-16 2014-11-20 日本電信電話株式会社 情報処理装置、および、情報処理方法
JP2014225160A (ja) * 2013-05-16 2014-12-04 日本電信電話株式会社 情報処理装置および情報処理方法
JP2016103299A (ja) * 2011-01-07 2016-06-02 アビニシオ テクノロジー エルエルシー フロー分析計装
WO2020252698A1 (zh) * 2019-06-19 2020-12-24 深圳开源互联网安全技术有限公司 一种数据流跟踪方法、系统、存储介质和服务器
CN116467712A (zh) * 2023-04-23 2023-07-21 北京安普诺信息技术有限公司 动态污点追踪方法、装置及相关污点传播分析系统

Families Citing this family (152)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
JP4572259B1 (ja) * 2009-04-27 2010-11-04 株式会社フォティーンフォティ技術研究所 情報機器、プログラム及び不正なプログラムコードの実行防止方法
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
US8730826B2 (en) * 2010-11-17 2014-05-20 Ixia Testing fragment reassembly
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US9104867B1 (en) 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US9430646B1 (en) * 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
WO2014145805A1 (en) 2013-03-15 2014-09-18 Mandiant, Llc System and method employing structured intelligence to verify and contain threats at endpoints
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
CN103440201B (zh) * 2013-09-05 2016-05-18 北京邮电大学 动态污点分析装置及其在文件格式逆向解析中的应用
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9292686B2 (en) 2014-01-16 2016-03-22 Fireeye, Inc. Micro-virtualization architecture for threat-aware microvisor deployment in a node of a network environment
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9824214B2 (en) 2014-08-15 2017-11-21 Securisea, Inc. High performance software vulnerabilities detection system and methods
US9454659B1 (en) 2014-08-15 2016-09-27 Securisea, Inc. Software vulnerabilities detection system and methods
US10599852B2 (en) 2014-08-15 2020-03-24 Securisea, Inc. High performance software vulnerabilities detection system and methods
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
EP2996034B1 (en) 2014-09-11 2018-08-15 Nxp B.V. Execution flow protection in microcontrollers
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US9773112B1 (en) 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US10050998B1 (en) 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10476906B1 (en) 2016-03-25 2019-11-12 Fireeye, Inc. System and method for managing formation and modification of a cluster within a malware detection system
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US10826933B1 (en) 2016-03-31 2020-11-03 Fireeye, Inc. Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US10902119B1 (en) 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
EP3588900B1 (en) * 2018-06-29 2022-10-05 AO Kaspersky Lab System and method of analyzing the content of encrypted network traffic
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
RU2706894C1 (ru) 2018-06-29 2019-11-21 Акционерное общество "Лаборатория Касперского" Система и способ анализа содержимого зашифрованного сетевого трафика
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11108675B2 (en) 2018-10-31 2021-08-31 Keysight Technologies, Inc. Methods, systems, and computer readable media for testing effects of simulated frame preemption and deterministic fragmentation of preemptable frames in a frame-preemption-capable network
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
US12074887B1 (en) 2018-12-21 2024-08-27 Musarubra Us Llc System and method for selectively processing content after identification and removal of malicious content
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
CN112306888B (zh) * 2020-11-13 2022-05-10 武汉天喻信息产业股份有限公司 一种基于设备库文件接口的测试系统和方法
US11321218B1 (en) * 2021-03-08 2022-05-03 Correct Computation, Inc. Automated generation of source code models from machine code for code analysis
US20230095080A1 (en) * 2021-09-30 2023-03-30 Mcafee, Llc Object inspection via operating system share function

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10289102A (ja) * 1997-02-17 1998-10-27 Nippon Steel Corp プログラムのデータフロー解析装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6442752B1 (en) * 1999-08-26 2002-08-27 Unisys Corporation Method, apparatus, and computer program product for replacing a dynamic link library (dll) of a first computing environment with a dll of a second computing environment that can be invoked from the first computing environment in a transparent manner
US7644441B2 (en) * 2003-09-26 2010-01-05 Cigital, Inc. Methods for identifying malicious software
US7770154B2 (en) * 2005-07-01 2010-08-03 Oracle International Corporation Lightweight highly available infrastructure to trace program execution

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10289102A (ja) * 1997-02-17 1998-10-27 Nippon Steel Corp プログラムのデータフロー解析装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
SACHIKO YOSHIHAMA: "Language-based Information Flow Control in Dynamic Approach", TRANSACTIONS OF INFORMATION PROCESSING SOCIETY OF JAPAN, INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 48, no. 9, 15 September 2007 (2007-09-15), pages 3060 - 3072 *
SATOSHI KATSUNUMA: "Adress Offset ni Chakumoku shita Data Flow Tsuiseki ni yoru Chunyu Kogeki no Kenshutsu", SYMPOSIUM ON ADVANCED COMPUTING SYSTEMS AND INFRASTRUCTURES SACSIS2006 RONBUNSHU, INFORMATION PROCESSING SOCIETY OF JAPAN, vol. 2006, no. 5, 22 May 2006 (2006-05-22), pages 515 - 524 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016103299A (ja) * 2011-01-07 2016-06-02 アビニシオ テクノロジー エルエルシー フロー分析計装
WO2014185165A1 (ja) * 2013-05-16 2014-11-20 日本電信電話株式会社 情報処理装置、および、情報処理方法
JP2014225160A (ja) * 2013-05-16 2014-12-04 日本電信電話株式会社 情報処理装置および情報処理方法
JP6023317B2 (ja) * 2013-05-16 2016-11-09 日本電信電話株式会社 情報処理装置、および、情報処理方法
US10129275B2 (en) 2013-05-16 2018-11-13 Nippon Telegraph And Telephone Corporation Information processing system and information processing method
WO2020252698A1 (zh) * 2019-06-19 2020-12-24 深圳开源互联网安全技术有限公司 一种数据流跟踪方法、系统、存储介质和服务器
CN116467712A (zh) * 2023-04-23 2023-07-21 北京安普诺信息技术有限公司 动态污点追踪方法、装置及相关污点传播分析系统
CN116467712B (zh) * 2023-04-23 2023-12-01 北京安普诺信息技术有限公司 动态污点追踪方法、装置及相关污点传播分析系统

Also Published As

Publication number Publication date
JPWO2010134325A1 (ja) 2012-11-08
JP5459313B2 (ja) 2014-04-02
US20120066698A1 (en) 2012-03-15

Similar Documents

Publication Publication Date Title
JP5459313B2 (ja) 動的データフロー追跡方法、動的データフロー追跡プログラム、動的データフロー追跡装置
US10891369B2 (en) Dynamic switching between pointer authentication regimes
US11507669B1 (en) Characterizing, detecting and healing vulnerabilities in computer code
US10102373B2 (en) Method and apparatus for capturing operation in a container-based virtualization system
US8839215B2 (en) String cache file for optimizing memory usage in a java virtual machine
WO2010134330A1 (ja) 分岐予測装置、その分岐予測方法、コンパイラ、そのコンパイル方法及び分岐予測プログラム記録媒体
WO2022180702A1 (ja) 解析機能付与装置、解析機能付与プログラム及び解析機能付与方法
CN113961919B (zh) 恶意软件检测方法和装置
US10311233B2 (en) Generic unpacking of program binaries
US9027145B2 (en) Method and apparatus for detecting leak of information resource of device
JP6023317B2 (ja) 情報処理装置、および、情報処理方法
KR101851330B1 (ko) 코드 재사용 공격 탐지 장치 및 그 방법
JP5952218B2 (ja) 情報処理装置および情報処理方法
KR100961146B1 (ko) 악성 스크립트 코드 복호화 방법 및 시스템
WO2023067665A1 (ja) 解析機能付与方法、解析機能付与装置及び解析機能付与プログラム
CN114491557A (zh) 一种基于容器环境java内存木马威胁检测方法
CN114091111B (zh) 一种区块链智能合约的存储方法及装置
US12050687B1 (en) Systems and methods for malware detection in portable executable files
KR101003097B1 (ko) 폴리몰픽 쉘코드 탐지방법
JP6163678B2 (ja) プログラムバイナリの汎用的なアンパッキング
JP2024072010A (ja) プログラム、命令実行制御装置、及び命令実行制御方法
WO2024137374A1 (en) Processor with delayed instruction pipeline flush

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10777563

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011514329

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13321753

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 10777563

Country of ref document: EP

Kind code of ref document: A1