动态污点分析中的污点传播相似性研究

Depending on signatures detection and huge signature database，host IDS, anti-virus software and application firewall are considered as out-of-date passive defensive technologies. Dynamic tainted analysis is the core technology of next generation system security, and is the main method to proactively defend and improve the system security level. But the researches of dynamic tainted analysis rely on heuristics rules and lack theoretical foundation and completeness. The project will carry out further researches of tainted data propagation similarity to resolve these problems. Aiming at the theoretical foundation, the project presents definition of tainted data propagation similarity and its quantitative computing method；In view of completeness，the project proposes the method of how to overcome the Under Tainted and Over Tainted in dynamic tainted analysis, which affect the tainted propagation similarity； Aiming to complex heuristics rules in dynamic tainted analysis， theand presents a simple and consistent method to reverse engineer the input data syntax and semantic information. for further verification and test，the project research on accurate and effective in-memory fuzz testing, based on dynamic tainted analysis。The results of these researches will provide the theory and technology support for the dynamic tainted analysis and next generation system security.

基于特征检测的入侵检测系统、反病毒技术、应用防火墙依赖巨大的特征库进行被动防御，已经被认为是过时的安全技术。动态污点分析是下一代系统安全的核心技术，是进行主动防御提高系统安全性的重要方法。但是这种方法也具有缺乏理论指导、基于复杂的启发式规则、存在检测盲点等亟需解决的问题。因此本项目拟从基础的污点数据传播相似性进行深入研究,解决这些问题。针对缺乏理论指导的问题，本项目提出对污点传播相似性进行规范化描述和量化分析方法；针对存在检测盲点问题，提出解决动态污点分析中的Under Tainting和Over Tainting现象对污点传播和传播相似性影响的方法；针对动态污点分析基于复杂启发式规则的问题，研究基于污点传播相似性的简单、统一的污点数据语义结构逆向还原方法。为了进一步的验证,研究高效的二进制程序漏洞挖掘方法测试提出的理论。本项目的研究成果将为动态污点分析技术的进一步发展提供理论和技术支撑。

对二进制程序进行动态污点分析是下一代系统安全的主要技术。但是基于动态污点分析技术还不成熟：首先缺少理论指导，主要基于复杂的启发式规则；其次存在污点跟踪中的Over Tainting和Under Tainting现象，对分析结果有较严重的影响；最后还没有充分的在各个安全领域得到应用。.本项目主要在以下几个方面对动态污点分析技术进行了研究：.1）.实现了基于PIN二进制插装平台的动态污点跟踪系统。该系统主要包含污点初始化、污点记录hash map、污点的传播与清除、污点分析模块。并从多个方面进行了优化，使得该系统能够跟踪大型应用程序，比同类系统提高了30%-50%的效率。.2）.对污点数据传播的相似性规律进行深入研究和分析，并成功的应用到了未公开网络协议逆向方向。提出了一种基于动态污点传播相似性的自动化网络协议逆向工程方法。该方法通过动态污点分析、相似度域边界划分、域边界调整、语义信息识别、语义信息融合多个阶段，可以准确的自动化逆向解析出网络报文格式。经过测试多种网络协议，可以到达50%-90%的正确率，在域边界划分方面效果优于其它自动化方法10%-15%。.3）.通过对Over Tainting和Under Tainting现象进行研究，重点研究了对动态污点跟踪精度影响较大的Under Tainting，提出了利用数据流分析中的关键字分析来减少Under Tainting。这是因为程序在处理数据流的时候，仅仅通过比较前面几个字符就能确认唯一的关键字，然后剩余的几个字符被直接跳过，导致污点传播判断的错误。因此通过辅助的关键字语义分析，可以提高动态污点跟踪精度的5%。.4）.对动态污点跟踪在敏感数据泄露领域进行了深入研究，提出了通过动态污点跟踪技术检测敏感信息泄露的方法。根据程序对敏感数据的特殊污点传播方式，自动提取敏感信息定义为污点源而不需要人工干预，并且能够监控多条敏感信息泄露路径。通过对多个勒索软件、软件漏洞测试都证明了该方法的有效性。.本项目对动态污点跟踪传播相似性进行了深入研究，并在多个安全领域进行了成功的应用，取得了较好的效果，为动态污点分析技术的进一步发展提供了理论和技术支撑。