基于硬件虛擬化反調(diào)試的軟件保護(hù)設(shè)計(jì).pdf

1、調(diào)試技術(shù)在軟件開(kāi)發(fā)過(guò)程中常用來(lái)做動(dòng)態(tài)實(shí)時(shí)分析,但它也常被惡意代碼所利用。如今,隨著對(duì)軟件保護(hù)的要求越來(lái)越高,反調(diào)試技術(shù)作為軟件保護(hù)技術(shù)的重要組成部分,也越來(lái)越重要,先后出現(xiàn)了基于內(nèi)存差異的反調(diào)試技術(shù)、基于系統(tǒng)差異的反調(diào)試技術(shù)和基于CPU的反調(diào)試技術(shù),等等。盡管這些反調(diào)試技術(shù)采用的原理不同,但他們有一個(gè)共同的弊端,那就是運(yùn)行在Ring 0或以上層,惡意代碼仍然根據(jù)不同的反調(diào)式技術(shù)進(jìn)行相對(duì)應(yīng)的操作,從而達(dá)到阻止反調(diào)試的目的。針對(duì)傳統(tǒng)反調(diào)試技

2、術(shù)的限制,硬件虛擬化技術(shù)的誕生,使得創(chuàng)建一個(gè)高于傳統(tǒng)操作系統(tǒng)級(jí)別的虛擬機(jī)管理層(VMM)成為可能,為人們進(jìn)行軟件保護(hù)方面的研究和開(kāi)發(fā)提供了廣闊的前景。本文設(shè)計(jì)了一套輕量級(jí)且基于硬件虛擬化技術(shù)進(jìn)行反調(diào)試軟件保護(hù)的框架LAHF(Light-Weight and Anti-debugging Framework Based on Hardware Virtualization Technology)。硬件虛擬化技術(shù)是基于芯片處理器的虛擬化技術(shù)

3、,它直接運(yùn)行在硬件,使VMM成為系統(tǒng)級(jí)的虛擬機(jī),不但可以有效地提供安全性和隔離性,而且可以對(duì)于Ring 0及以上級(jí)別的代碼實(shí)行監(jiān)控。為了提高框架的可擴(kuò)展性和通用性,本文對(duì)其做了簡(jiǎn)明的分層設(shè)計(jì)和接口包裝,并以驅(qū)動(dòng)的形式直接應(yīng)用于X86架構(gòu)和32位Windows XP的環(huán)境中,做到了動(dòng)態(tài)安裝和卸載。本課題重點(diǎn)研究的是如何利用硬件虛擬技術(shù)對(duì)調(diào)試器進(jìn)行監(jiān)測(cè)和識(shí)別,也就是本文所說(shuō)的硬件虛擬化反調(diào)試技術(shù)。該技術(shù)的重點(diǎn)在于如何識(shí)別一種行為是調(diào)試行為,

4、且技術(shù)應(yīng)用后不影響原程序的繼續(xù)執(zhí)行。本文通過(guò)分析Windows調(diào)試機(jī)理,充分利用硬件虛擬技術(shù)帶來(lái)的便利,成功找到了一條令人滿(mǎn)意的反調(diào)試思路并加以實(shí)現(xiàn)。另外,針對(duì)目前各種反調(diào)試手段應(yīng)用范圍比較單一的現(xiàn)實(shí),本文開(kāi)發(fā)的反調(diào)試框架可在Windows平臺(tái)上針對(duì)多種調(diào)試器進(jìn)行監(jiān)控。接著,為了防止惡意代碼發(fā)現(xiàn)和攻擊,本文利用硬件虛擬技術(shù)為L(zhǎng)AHF設(shè)計(jì)了自隱藏模塊。自隱藏技術(shù)主要包括頁(yè)表復(fù)制和頁(yè)表欺騙兩個(gè)部分。頁(yè)表復(fù)制指的是LAHF將操作系統(tǒng)內(nèi)核態(tài)頁(yè)表

5、的內(nèi)容復(fù)制到自己建立的一套私有頁(yè)表中。頁(yè)表欺騙是通過(guò)修改操作系統(tǒng)內(nèi)核態(tài)頁(yè)表的方法使操作系統(tǒng)以為找到了實(shí)際的物理地址,實(shí)際上該地址不是真正的物理地址。最后,本文針對(duì)LAHF的反調(diào)試能力、自隱藏能力和對(duì)系統(tǒng)的影響做了大量的原型系統(tǒng)實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果表明,LAHF的實(shí)際地址空間無(wú)法被操作系統(tǒng)和常見(jiàn)調(diào)試器檢測(cè),并且能反調(diào)試多種常見(jiàn)的調(diào)試器。另外,性能測(cè)試的結(jié)果顯示了LAHF對(duì)系統(tǒng)性能的影響控制在5%以?xún)?nèi)。最終,本文成功提供了一個(gè)高效安全的基于硬件虛