针对内存攻击对象的内存安全防御技术研究

Due to the widespread existence of vulnerabilities in computer programs such as C and C++, attackers can read or tamper the data in memory based on these vulnerabilities, causing the program to perform abnormal behavior and logic, posing a serious threat to the security of computer systems. Memory data includes control-related data and non-control-related data. Control data attacks such as code injection attacks, code reuse attacks, are widely used due to lower costs. To this end, researchers have proposed various defense techniques to prevent such attacks, but the protection of the JIT-ROP attack based on dynamically generated code and indirect address disclosure are relatively weak. Moreover, with the increasing difficulty of control data attacks, non-control data attacks are valued gradually. In particular, the introduction of data-oriented programming DOP has proved the Turing complete properties of non-control data attacks. However, the published articles at home and abroad are lacking comprehensive study of the protection on such attacks. As a result, we propose this subject to conduct the research on memory attack protection. Our purpose is to defense JIT-ROP code reuse attacks, indirect memory address disclosure and non-control data attacks according the attack goal of different stages on the attack process. We believe that our work will help to alleviate the threat of memory attack and enhance the defense ability of our country's computer system in cyberspace security game.

由于C与C++等计算机程序中广泛存在的漏洞，攻击者可以读取或篡改内存中的数据，导致程序执行异常的行为和逻辑，对计算机系统的安全造成了严重威胁。内存数据包括控制相关数据和非控制相关数据。控制数据攻击如代码注入攻击、代码复用攻击等因成本较低得到广泛利用。为此研究人员提出了各种防御技术阻止此类攻击，但基于动态生成代码的JIT-ROP类攻击以及间接地址泄漏的防护相对薄弱。并且，随着控制数据攻击的难度越来越大，非控制数据攻击逐渐得到重视，特别是数据导向编程DOP的提出更是证明了非控制数据攻击的图灵完备，但是目前国内外缺乏对此类攻击的防御研究。因此，本课题根据攻击过程不同阶段的攻击目标开展JIT-ROP代码复用攻击、间接内存地址泄露和非控制数据攻击的防御技术研究。该课题的研究将有助于内存攻击威胁的缓解，提升我国计算机系统在网络空间安全博弈中的防御能力。

内存攻击主要是通过利用程序漏洞来恶意利用和破坏目标程序内存中的控制数据和非控制数据，从而实现权限提升、信息泄露和拒绝服务等攻击。该攻击的攻击行为难以预料、检测更难、攻击更隐蔽，危害更大，安全防御形势更加严峻。因此，针对程序内存数据攻击开展研究，对缓解当前严峻的网络安全形势，具有重要的理论研究意义和应用价值。本项目具体研究内容如下：.1.针对现有基于动态随机化的代码复用攻击防御方法熵值普遍较低和存在攻击窗口等问题，首先，构建了评估动态随机化方法有效性的量化评估模型EMode；然后，提出了一种基于动态多点触发随机化的代码复用攻击防御方法DMTCR。.2.针对现有的控制流完整性CFI保护机制中存在较大的等价类，安全性不够高的问题，研究提出一种基于分支关联完整性的控制流保护方法BCI-CFI，通过定义分支关联完整性BCI，在运行时对目标程序中间接控制转移的目标进行合法性验证，从而实现对ROP攻击的防御。.3.针对现有的数据平面随机化方法缺乏对DOP攻击威胁的感知，在随机化策略选择时存在盲目性的问题，研究提出一种基于情报驱动的数据平面随机化技术Shapeshifter，通过对DOP攻击的策略行为分析获取威胁情报，构建包含需要随机化的数据对象的白名单，然后对白名单中的数据对象进行随机化处理，从而迷惑攻击者，减少目标程序的静态性、同构性和确定性。.4. 针对DFI方法对变量的每个操作进行可达性分析存在冗余，导致方法误报率和性能开销较高的问题，研究提出一种基于数据感知自动机模型的非控制数据攻击防御方法DOPdefender，通过在有限状态自动机的基础上标注非控制数据，建立数据感知的自动机模型。然后，在运行时验证对目标程序中关键非控制数据操作行为的合法性，从而阻止攻击者破坏目标程序中关键的非控制数据。.5. 针对DOPdefender不能对运行时动态产生的程序输入数据进行有效保护，以及可能面临的状态爆炸的问题，设计实现一种模块化认证技术和一种输入数据保护技术Inputguard，在此基础上，研究提出一种DOP攻击防御方法DOPdefenderPlus，通过模块化认证技术使DOPdefender可扩展到模块化设计的软件程序，并通过Inputguard技术保护动态生成的关键非控制数据，从而弥补DOPdefender方法存在的局限性。