基于PE文件的啟發(fā)式特征碼自動(dòng)提取的研究.pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展,計(jì)算機(jī)病毒技術(shù)也在迅速發(fā)展,逐漸融合了網(wǎng)絡(luò)蠕蟲、木馬、拒絕服務(wù)攻擊等各種攻擊手段。
　　 造成的損失也由最初的數(shù)據(jù)丟失,發(fā)展到現(xiàn)在的信息泄密,甚至互聯(lián)網(wǎng)的癱瘓,破壞力越來越大。但不幸的是病毒檢測技術(shù)還不能完全跟上病毒編寫者的速度。特別在特征碼提取這一塊,現(xiàn)在仍舊停留在人工分析提取特征碼的階段,這使得一個(gè)新病毒從發(fā)現(xiàn)到檢測需要一個(gè)很長的過程,而現(xiàn)在的新型病毒的傳播速度越來越快,破壞程度也越來越嚴(yán)重。基于上述分

2、析,特征碼的提取方式和提取速度必須跟上病毒的傳播速度。
　　 本文針對(duì)特征碼提取技術(shù)做了如下工作:
　　 (1)提出了基于PE文件啟發(fā)式特征碼自動(dòng)提取技術(shù)。該技術(shù)是建立在對(duì)病毒感染策略詳細(xì)分析的基礎(chǔ)上,通過對(duì)病毒樣本的PE結(jié)構(gòu)掃描,利用病毒復(fù)制和傳播的特性,尋找病毒在PE結(jié)構(gòu)中區(qū)別于正常文件的啟發(fā)性標(biāo)志。該啟發(fā)性標(biāo)志的選擇主要依據(jù)病毒的感染策略,從PE文件的PE頭部,可選頭部,入口點(diǎn)地址,節(jié)表等病毒容易感染區(qū)段進(jìn)行選取,

3、然后通過啟發(fā)性標(biāo)志提煉出病毒的特征序列,最后選出最能代表該病毒特性的特征序列組合成特征碼。
　　 (2)設(shè)計(jì)并實(shí)現(xiàn)特征碼自動(dòng)提取系統(tǒng)。討論系統(tǒng)的總體設(shè)計(jì)和各模塊的之間的關(guān)系,詳細(xì)介紹了系統(tǒng)核心模塊的設(shè)計(jì)流程和算法。該系統(tǒng)是根據(jù)基于PE文件啟發(fā)式掃描的思想設(shè)計(jì)的并在該系統(tǒng)中融入了對(duì)病毒樣本的特征碼實(shí)現(xiàn)無人工干預(yù)的自動(dòng)提取技術(shù)。接著我們通過該系統(tǒng)對(duì)大量惡意樣本進(jìn)行特征碼提取,并在積累大量病毒樣本的特征碼基礎(chǔ)上對(duì)基于PE文件啟發(fā)式特征