基于后向切片的回傳消息格式提取方法.pdf

1、逆向解析通信協(xié)議在惡意程序的分析和防御等方面具有重要應(yīng)用價(jià)值。分析人員可以根據(jù)獲得的協(xié)議數(shù)據(jù)格式對(duì)惡意程序的通信數(shù)據(jù)進(jìn)行重寫(xiě)，進(jìn)而控制其惡意行為。許多國(guó)內(nèi)外研究致力于重寫(xiě)由控制主機(jī)端發(fā)送到客戶端的控制命令，控制客戶端程序的行為。
　　然而，重寫(xiě)控制命令只能控制客戶端的惡意行為，存在局限性。要控制惡意程序的控制主機(jī)端的行為，分析人員需要重寫(xiě)由客戶端發(fā)送給控制主機(jī)的回傳數(shù)據(jù)。論文提出一種由客戶端發(fā)送給控制主機(jī)的回傳數(shù)據(jù)格式提取方法。主

2、要思想是:通過(guò)監(jiān)控惡意程序客戶端得到回傳數(shù)據(jù)過(guò)程的執(zhí)行軌跡，對(duì)執(zhí)行軌跡進(jìn)行處理得到回傳數(shù)據(jù)所在的發(fā)送緩沖區(qū)的語(yǔ)法結(jié)構(gòu)劃分結(jié)果;然后利用動(dòng)態(tài)污點(diǎn)分析技術(shù)分析各語(yǔ)法字段的語(yǔ)義信息，進(jìn)而分析出回傳數(shù)據(jù)格式。
　　具體內(nèi)容如下:利用動(dòng)態(tài)二進(jìn)制分析平臺(tái)得到與回傳數(shù)據(jù)過(guò)程相關(guān)的程序執(zhí)行軌跡;采用設(shè)計(jì)的程序后向切片算法，解析出回傳數(shù)據(jù)發(fā)送緩沖區(qū)的語(yǔ)法結(jié)構(gòu);通過(guò)分析網(wǎng)絡(luò)協(xié)議數(shù)據(jù)的傳播過(guò)程，提出了分析協(xié)議中主要協(xié)議字段的方法;利用動(dòng)態(tài)污點(diǎn)分析技術(shù)，