基于控制流监控的代码复用攻击防御技术研究

Recently, the attack and defense of code reuse have become hot issues of information security. This project plans to research defense technology of code reuse attack, and to propose a defense mechanism based on control-flow monitoring. Firstly, we propose control flow integrity based on program, to prevent code reuse attack crossing program border, and to limit the attack inside only one program. Then, we propose gadget tagging based on automatic generators of code reuse attack, to detect and prevent more precisely code reuse attack inside one program. Finally, we summarize all rule-based control-flow monitoring and present a hardware/software co-design mechanism to monitor control flow, which can support most methods of control-flow monitoring and is high security, high efficient and high universality. The proposed defense mechanism is a balance between security and performance, which can not only defense against code reuse attack, but also has small impact on system performance, and has high feasibility and practical value.

近年来，代码复用攻击及其防御成为信息安全领域研究的热点问题。本项目拟对代码复用攻击的防御技术展开深入研究，并提出一种基于控制流监控的代码复用攻击防御方法。首先，提出以程序为单元的控制流完整性技术，阻止跨程序的代码复用攻击，将攻击局限在单个程序内部。然后，借鉴已有的代码复用攻击自动生成工具，提出配件标记方法，能够更加精确的发现并阻止对单个程序的代码复用攻击。最后，归纳整理基于规则的控制流监控方法，提出可扩展的软硬件协同控制流监控机制，能够支持大多数对控制流实时监控的方法，具有高安全性、高效率和高通用性。本项目提出的基于控制流监控的防御机制兼顾安全和性能，既可以有效防御代码复用攻击，对系统性能的影响也很小，具有很高的可行性和实用价值。

近年来，代码复用攻击及其防御成为信息安全领域研究的热点问题。本项目拟对代码复用攻击的防御技术展开深入研究，并提出一种基于控制流监控的代码复用攻击防御方法。首先，提出以程序为单元的控制流完整性技术，阻止跨程序的代码复用攻击，将攻击局限在单个程序内部。然后，借鉴已有的代码复用攻击自动生成工具，提出配件标记方法，能够更加精确的发现并阻止对单个程序的代码复用攻击。最后，归纳整理基于规则的控制流监控方法，提出可扩展的软硬件协同控制流监控机制，能够支持大多数对控制流实时监控的方法，具有高安全性、高效率和高通用性。本项目提出的基于控制流监控的防御机制兼顾安全和性能，既可以有效防御代码复用攻击，对系统性能的影响也很小，具有很高的可行性和实用价值。此外，本项目还对非控制数据攻击及防御技术进行了一定的探索，提出了一些针对性的缓解措施。最终，在本项目的支持下，一共发表7篇高水平的学术论文和15项发明专利。