ROPDetector:一种基于硬件性能计数器的ROP攻击实时检测方法

作者：牛伟纳; 赵成洋; 张小松^*; 黄晓祥; 蒋廉; 张钶旋

来源：计算机学报, 2021, 44(04): 761-772.

DOI：10.11897/SP.J.1016.2021.00761

• 面向返回编程
• 硬件事件
• 实时检测
• 硬件性能计数器
• 错误预测返回指令

面向返回编程(Return-Oriented Programming,ROP)是针对软件漏洞利用最广泛的攻击技术之一,能够绕过数据执行保护、地址空间布局随机化等防御机制.本文提出了一种基于硬件的ROP攻击实时检测方法,在不需要任何边缘信息(如源代码、编译器支持)和二进制重写的情况下,利用现代CPU中的硬件性能计数器监控目标程序执行过程,提取ROP攻击发生时底层硬件事件特征来实时检测ROP攻击.然后,在32位Linux实验环境下实现了原型系统ROPDetector,使用真实的ROP攻击与漏洞进行实验,并与同类方法进行了对比实验,最后评估了系统的性能消耗.实验结果表明,该方法能有效地检测真实的ROP攻击,在分别以6次和9次错误预测返回指令为检测周期时,系统性能消耗仅有5.05%和5.25%,磁盘I/O性能消耗仅有0.94%和2%,网络I/O性能消耗仅有0.06%和0.78%.

• 单位
  电子科技大学