针对ROP攻击的动态运行时检测系统

作者：韩浩; 茅兵; 谢立

来源：计算机工程, 2012, 38(04): 122-125.

DOI：10.3969/j.issn.1000-3428.2012.04.040

• 面向返回的编程
• 恶意代码
• ROP检测
• JOP检测 Return-oriented Programming(ROP)
• malicious code
• ROP detection
• JOP detection

根据面向返回的编程(ROP)攻击及其变种的攻击原理,设计一个针对ROP攻击的动态运行时检测系统。该系统包括静态插桩和动态运行监控2个阶段。静态插桩为待检测程序装配分析代码,动态运行利用ret完整性检测、call完整性检测和jmp完整性检测方法分析程序的控制流和数据流,判断是否为ROP攻击。实验结果表明,该方法能完全检测出ROP恶意代码。

• 单位
  计算机软件新技术国家重点实验室; 南京大学