基于虛擬機(jī)的關(guān)鍵信息提取與分析.pdf

1、可執(zhí)行二進(jìn)制代碼的分析是分析程序行為特征的重要手段，是檢測惡意代碼的主要措施。隨著軟件技術(shù)的發(fā)展，加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段提高了二進(jìn)制代碼的分析難度。針對(duì)這個(gè)問題，本文提出了一種基于虛擬機(jī)的關(guān)鍵信息提取與分析的方法，其核心思想是，在一個(gè)使用仿真技術(shù)的全系統(tǒng)虛擬機(jī)上運(yùn)行操作系統(tǒng)，然后在處于仿真環(huán)境的操作系統(tǒng)中執(zhí)行需要分析的二進(jìn)制代碼，通過截獲二進(jìn)制代碼運(yùn)行時(shí)產(chǎn)生的指令流信息，提取相關(guān)數(shù)據(jù)，并借助程序切片技術(shù)分析二進(jìn)制代碼的行

2、為特征。
　　基于該方法，本文設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)原型系統(tǒng)。該系統(tǒng)通過對(duì)bochs虛擬機(jī)進(jìn)行二次開發(fā)，能夠高效地截獲二進(jìn)制代碼運(yùn)行時(shí)產(chǎn)生的指令流和數(shù)據(jù)流信息，然后使用靜態(tài)特征分析、轉(zhuǎn)移類指令分析、系統(tǒng)調(diào)用分析、內(nèi)存讀寫分析、程序切片分析、密碼算法分析等分析模塊，對(duì)截獲下來的信息進(jìn)行分析，提取其關(guān)鍵的信息，并分析其行為特征。本文在該原型系統(tǒng)上進(jìn)行了實(shí)驗(yàn)和分析。實(shí)驗(yàn)結(jié)果表明，本文所提出的二進(jìn)制代碼分析方法,能夠有效地對(duì)抗加殼、反調(diào)試、代碼

3、混淆等抗分析技術(shù)手段，實(shí)現(xiàn)二進(jìn)制代碼分析的目的。
　　本文對(duì)采用加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段的二進(jìn)制代碼的分析方法進(jìn)行了重點(diǎn)研究。本文的主要貢獻(xiàn)在于：
　?。?）通過對(duì)二進(jìn)制代碼、指令流和數(shù)據(jù)流的特點(diǎn)、抗分析技術(shù)的機(jī)理等進(jìn)行研究，提出了一種基于虛擬機(jī)的二進(jìn)制代碼分析方法。傳統(tǒng)的二進(jìn)制代碼分析方法更多的是關(guān)注靜態(tài)的二進(jìn)制代碼或者程序運(yùn)行時(shí)表現(xiàn)的行為，對(duì)于采用抗分析技術(shù)手段的二進(jìn)制代碼，傳統(tǒng)的二進(jìn)制代碼分析方法能夠獲取

4、的信息比較有限，難以分析二進(jìn)制代碼的行為特征。本文的新穎性在于，通過截獲、分析二進(jìn)制代碼運(yùn)行時(shí)的指令流和數(shù)據(jù)流信息來分析二進(jìn)制代碼。這種方法可以有效規(guī)避加殼、反調(diào)試、代碼混淆等抗分析技術(shù)手段。
　?。?）設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)通用的截獲運(yùn)行時(shí)指令流和數(shù)據(jù)流的虛擬機(jī)。通過對(duì)開源虛擬機(jī) bochs進(jìn)行二次開發(fā)，實(shí)現(xiàn)了一個(gè)能夠截獲運(yùn)行時(shí)指令流和數(shù)據(jù)流信息的虛擬機(jī)。基于X86架構(gòu)的Windows、Linux操作系統(tǒng)以及應(yīng)用程序都可以在該虛擬機(jī)環(huán)