一种基于静、动态分析相结合的漏洞挖掘分析方法

基于源码与二进制文件的的静态漏洞挖掘分析可以检测出很多漏洞,但同时存在很多漏报以及误报。动态分析技术分析动态调试器中程序的内存、状态以及调试器的寄存器等信息,进而发现潜在的安全漏洞,具有较高的准确率和较强的针对性。但动态漏洞分析技术在输入数据格式较为复杂时,很容易构造出触发程序异常的数据。针对二者的不足,本文提出了一种基于静、动态结合的漏洞挖掘分析方法,为漏洞挖掘分析增添了新的思路。     

程序分析研究进展

在信息化时代,人们对软件的质量要求越来越高.程序分析是保障软件质量的重要手段之一,日益受到学术界和产业界的重视.介绍了若干基本程序分析技术（抽象解释、数据流分析、基于摘要的分析、符号执行、动态分析、基于机器学习的程序分析等）,特别是最近10余年的研究进展.进而介绍了针对不同类型软件（移动应用、并发软件、分布式系统、二进制代码等）的分析方法.最后展望了程序分析未来的研究方向和所面临的挑战.     

基于中间表示的可复用程序分析系统

采用一种语言独立AST中间格式以便把程序的分析算法同编译器内部表示分离，利用这种格式设计与实现了Compiler Auxiliary Toolkit(COA)系统框架。COA可同时应用于静态分析算法和动态分析算法。在介绍了COA框架之后，用实例说明了如何利用COA框架进行函数调用图生成算法的静态分析和循环不变量的动态分析。     

一种涉诈APP分析方法

随着科技的发展和生活水平的提高,人们每天的生活与互联网越来越息息相关.移动端互联网应用的多样性,也吸引了一部分不法分子,利用仿冒APP、涉诈APP、涉赌APP等形式,获取不义之财,使用者也因此承受了巨大的经济损失.为解决目前存在的问题,针对此类APP,如何快速提取APK以及通过相关工具对APK进行后续的相关分析,并判断...     

静动态结合的恶意Android应用自动检测技术

随着移动互联网的快速发展,移动终端及移动应用在人们日常生活中越来越重要,与此同时,恶意移动应用给网络和信息安全带来了严峻的挑战。Android平台由于其开放性和应用市场审查机制不够完善,使其成为了移动互联网时代恶意应用的主要传播平台。现有的恶意应用检测方法主要有静态分析和动态测试两种。一般而言,静态分析方法代码覆盖率高、时间开销小,但存在误报率较高的问题;而动态测试准确度较高,但需要实际运行应用,所需的时间和计算资源开销较大。针对上述情况,本文基于静动态结合的方法,自动检测恶意Android应用。首先,使用静态分析技术获取应用API的调用情况来判定其是否为疑似恶意应用,特别是可有效检测试图通过反射机制调用API躲避静态分析的恶意应用;然后,根据疑似恶意应用UI控件的可疑度进行有针对性的动态测试,来自动确认疑似恶意应用中是否存在恶意行为。基于此方法,我们实现了原型检测工具框架,并针对吸费短信类恶意行为,对由465个恶意应用和1085个正常应用组成的数据集进行了对比实验。实验结果表明,该方法在提高恶意应用检测效率的同时,有效地降低了误报率。     

一种结合动态与静态分析的函数调用图提取方法

完整准确地提取函数调用图是基于函数调用图进行恶意程序相似性分析的基础。为此,提出一种动静结合的恶意程序函数调用图提取方法。在对程序进行静态反汇编的基础上抽取恶意程序的可执行路径,使用隐藏信息主动发现策略找出恶意程序中隐藏的指令和函数调用,采用动态反馈机制完成动静结合分析过程中的信息同步。实验结果表明,该方法能够有效应对各种恶意程序反分析技术,完整准确地提取出恶意程序的函数调用图。     

结合色度和纹理不变性的运动阴影检测

目的：在运动检测中,运动物体产生的阴影常常被错误地检测为运动物体本身,为了将阴影从检测结果中消除,本文提出了一种色度不变性和纹理不变性相结合的运动阴影检测方法。方法：首先从阴影的物理模型出发,直接在RGB颜色空间利用色度不变性来获得候选阴影区域,然后根据颜色信息对候选阴影区域进行分割,对每个子区域,利用一种基于局部二值模式的指标来度量其与对应背景区域的纹理相似程度,进而判断该子区域是否是阴影,从而得到最终的检测结果。结果：在公开测试集上的实验结果表明我们的方法可以有效地检测出运动阴影,相对于几种常用的阴影检测算法具有一定的优势。结论：本文将像素级水平和区域级水平阴影检测方法结合起来,提出了一种结合色度不变性和纹理不变性的运动阴影检测方法。实验结果表明,在多类复杂场景中,本文方法都能有效地将运动阴影检测出来,具有较强的鲁棒性。     

基于ICA的特征不变性目标识别

在图像目标识别中，目标图像平移、尺度和旋转不变性是一个重要前提，而高阶矩特征存在稳定性差的缺点．提出采用主分量分析(PCA)方法确定目标在最大方差意义下主轴的旋转角度，并结合稳定性好的低阶矩特征实现目标的平移、尺度和旋转不变性变换；然后利用独立分量分析(ICA)良好的目标特征抽取能力，在各目标特征空间重建目标模型，并通过对重建模型的误差分析实现目标识别；最后通过PCA确定目标旋转角度测试和ICA目标识别测试两个实验，证实了本文算法的鲁棒性和准确性．     

二进制代码安全分析综述

近几十年来,计算机硬件性能和软件规模技术已不同以往,其承载了人类社会生活生产的方方面面.计算机技术的飞速发展,也带来了人们对程序安全问题的关注.由于市面上存在着较多的遗留软件,这些软件无人维护且缺乏源代码支持,其安全性令人担忧,而二进制分析技术被用来解决该类软件问题.二进制分析技术根据其检测方式不同可分为:基于静态的二进制代码分析技术、基于动态的二进制代码分析技术和动静态混合的二进制代码分析技术.本文调研了近年来的二进制代码安全分析领域上相关研究,分别详细阐述了这3类技术中的主要方法,并对其关键技术进行详细介绍.     

基于线性分析的特征不变性目标识别

提出采用主分量分析（PCA）方法确定目标在最大方差意义下主轴的旋转角度，并结合稳定性好的低阶矩特征实现目标的平移、尺度和旋转的不变性变换；然后利用独立分量分析（ICA）良好的目标特征提取能力提取目标的特征值；最后在特征空间通过Fisher分类器实现目标识别。实验证实了算法的准确性。     

Using Static Analysis to Reduce Dynamic Analysis Overhead

Dynamic analysis (instrumenting programs with code to detect and prevent errors during program execution) can be an effective approach to debugging, as well as preventing harm from being caused by malicious code. One problem with this approach is the runtime overhead introduced by the instrumentation. We define several techniques that involve using the results of static analysis to identify some cases where instrumentation can safely be removed. While we have designed the techniques with a specific dynamic analysis in mind (that used by the Runtime Type-Checking tool), the ideas may be of more general applicability.     

Windows NT注册表的动态监控与静态分析研究

注册表是WindowsNT操作系统的核心，对注册表进行动态监控和静态分析在入侵检测和系统安全方面有着重要的意义，论述了采用WindowsNT多进程和挂钩技术对注册表操作进行动态监控的原理和编程实现方法，提出了采用快速遍历注册表和匹配注册表键值技术对注册表改动进行静态分析的算法。     

Subroutine Inlining and Bytecode Abstraction to Simplify Static and Dynamic Analysis

In Java bytecode, intra-method subroutines are employed to represent code in “finally” blocks. The use of such polymorphic subroutines within a method makes bytecode analysis very difficult. Fortunately, such subroutines can be eliminated through recompilation or inlining. Inlining is the obvious choice since it does not require changing compilers or access to the source code. It also allows transformation of legacy bytecode. However, the combination of nested, non-contiguous subroutines with overlapping exception handlers poses a difficult challenge. This paper presents an algorithm that successfully solves all these problems without producing superfluous instructions. Furthermore, inlining can be combined with bytecode simplification, using abstract bytecode. We show how this abstration is extended to the full set of instructions and how it simplifies static and dynamic analysis.     

基于静态和动态混合分析的内存拷贝类函数识别

缓冲区溢出等内存错误漏洞的产生往往来自对内存拷贝类函数的不当使用. 对二进制程序中的内存拷贝类函数进行识别有利于发现内存错误漏洞. 目前针对二进制程序中内存拷贝类函数的识别方法主要借助静态分析来提取函数的特征、控制流、数据流等信息进行识别, 具有较高的误报率和漏报率. 为了提高对内存拷贝类函数识别的效果, 提出一种基于静态和动态混合分析的技术CPSeeker. 所提方法结合静态分析和动态分析各自的优势, 分阶段对函数的全局静态信息和局部执行信息进行搜集, 对提取到的信息进行融合分析, 进而识别二进制程序中的内存拷贝类函数. 实验结果表明, 尽管CPSeeker在运行时间上有所增加, 但在内存拷贝类函数识别的效果上, 其F1值达到了0.96, 远优于最新的工作BootStomp、SaTC、CPYFinder以及Gemini, 并且不受编译环境(编译器版本、编译器种类、编译器优化等级)的影响. 此外, CPSeeker在真实的固件测试中也有更好的表现.     

基于静态分析的Java源代码后门检测技术研究

Web工程中存在的后门给网站安全带来极大风险,针对日益猖獗的后门攻击,文章提出了一种基于静态分析的后门检测技术,该技术通过分析源代码,可以检测出Java语言Web工程中存在的主要后门漏洞,并结合流分析及关键数据传播分析,给出漏洞的完整攻击路径。     

动态与静态取证

文章介绍了动态取证与静态取证的定义与区别,结合实际工作中的案件取证过程,从几个现实案例出发,分析动态与静态取证状态之间的差异,并提出了一种融合两种取证状态的通用取证流程。     

使用程序静态分析技术识别Web程序中的用例结构

本文利用程序静态分析技术对Web程序中的用例识别进行了深入研究。对Web页面的用户行为进行了深入分析并建模,从行为模型中提取出描述整个系统中用户行为的事件流图,结合采用现有的从目的成功语句出发、以必经结点为基础的用例识别方法,从各个Web页面中提取的独立控制流图,形成全局控制流图,进行全局用例识别。与以前已有工作相比,本文考虑了Web程序的特点,尤其是前端程序如何实现用户行为,并在前端程序中进行精确的用例识别。本文采用目前使用较为广泛的JSP程序进行了实验,结果表明该方法能够有效识别JSP程序中的用例结构。     

基于动态和静态分析的单体应用FaaS改造方法

作为Serverless架构的一种典型形态,函数即服务（function as a service,FaaS）架构将业务抽象为细粒度的函数,并且提供弹性的自动伸缩等自动化运维功能,能够大幅降低运维成本.当前,许多在线服务系统中的一些高并发、高可用、灵活多变的业务（如支付、红包等）都已经迁移到了FaaS平台上,但是大量传统单体应用还是难以利用FaaS架构的优势.针对这一问题,提出了一种基于动态和静态分析的单体应用FaaS改造方法.该方法针对指定的单体应用API,通过动态分析和静态分析相结合的方式识别并剥离其实现代码和依赖,然后按照函数模板完成代码重构.针对函数在高并发场景下的冷启动问题,该方法利用基于IO多路复用的主从多线程Reactor模型优化了函数模板,提高了单个函数实例的并发处理能力.基于该方法实现了针对Java语言的原型工具Codext,在开源Serverless平台OpenFaaS上,面向4个开源单体系统进行了实验验证.     

静态程序分析并行化研究进展

静态程序分析发展至今,已在多个方面取得了长足的进步,应用于软件开发的众多方面.但对现代大规模复杂软件系统(如千万行代码规模的Linux操作系统、分布式大数据处理系统Hadoop等)进行高精度的静态分析,因其极大规模数据量的计算,仍有一定难度.精度、效率和可扩展性相互制约,是静态分析技术在工业界应用的主要障碍.对此,近年来,随着多核、众核架构的兴起,研究人员提出了静态分析的各种并行化解决方案.首先梳理了静态分析的发展历程,然后针对当前静态分析面临的挑战,在分析了传统算法优化研究的不足后,对利用硬件资源进行并行优化的方法进行了充分讨论,包括单机的CPU并行、分布式和GPU实现这3个方面;在此基础上,对一些使用较为广泛的支持并行的静态分析工具进行了评估;最后,对未来如何从算法和算力角度对静态分析进行并行优化作了讨论和展望.     

基于程序静态分析和故障树的软件故障检测

为提高软件安全性和可靠性,探讨一种在软件故障检测过程中将故障定位和原因分析相结合的方法,该方法基于对程序的静态分析,找出故障的位置,利用故障树定位故障原因。非法计算是一种常见的软件故障,该类故障极易导致系统崩溃,该文以一个非法计算故障为例,说明该方法的分析过程,实验表明其可以有效地定位故障并分析其原因。