学位论文 > 优秀研究生学位论文题录展示

基于压缩加密及多态变形的代码迷惑方法研究

作　者: 李帅
导　师: 余胜生
学　校: 华中科技大学
专　业: 计算机系统结构
关键词: 压缩加密多态变形代码迷惑计算机安全
分类号: TP393.08
类　型: 硕士论文
年　份: 2011年
下　载: 10次
引　用: 0次
阅　读: 论文下载

内容摘要

网络环境随着技术发展变得越来越复杂,各类恶意代码层出不穷,对抗恶意代码已成为计算机安全研究的主要内容之一。同时,在网络取证及信息对抗中,恶意代码作为一种辅助手段,正在发挥积极作用。因此,研究恶意代码伪装自身所使用的代码迷惑技术,具有重要的理论意义和实用价值。结合代码迷惑技术的发展现状,阐述了控制流迷惑、重构可移植执行体文件、代码反特征检测等与代码迷惑相关的重要概念,分析了两种典型的面向可执行文件的代码迷惑方法,说明了这些方法依据的理论及迷惑机理,指出了它们存在的不足。在此基础上,探讨性地提出了一种基于压缩加密及多态变形的CEP(Compression Encryption and Polymorphism)代码迷惑方法,给出了其中涉及的三个关键技术:针对原始文件代码段使用压缩加密进行改造;使用基于Hash值动态查找的方法加解密原始文件的导入表;利用多态变形技术改造加载部分最终实现整个文件的改造。其中压缩采用的是一种基于LZMA压缩引擎的压缩方法,并使用与随机值进行异或的方法保护数据,在保证压缩性能的同时,兼顾了保密性。导入表处理,使用移位异或Hash值加密导入函数名,于解密时动态查找匹配Hash值相等的函数,以此迷惑检测软件。分析了多态引擎的应用场合,解析了BPE32多态变形引擎的工作模式,在CEP代码迷惑方法中采用了该引擎实现多态变形。为了验证CEP代码迷惑方法的有效性,基于该方法的处理流程,设计并实现了一个代码迷惑工具,给出了该工具的基本架构、功能描述、模块的划分以及多态变形的处理方式,其中重点说明了原始文件压缩模块、加载模块的具体实现。搭建了实验环境,进行了相关测试,测试结果表明,CEP代码迷惑方法对不同Windows平台具有普适性,经该方法处理后的恶意代码能够躲避主流检测软件的查杀,具有一定的实用价值。

全文目录

摘要  4-5
Abstract  5-8
1 绪论  8-13
  1.1 研究背景  8-9
  1.2 国内外发展现状  9-11
  1.3 课题研究的意义、内容及目标  11-13
2 常见代码迷惑方法  13-24
  2.1 相关概念  13-20
  2.2 基于压缩技术的代码迷惑方法  20-21
  2.3 基于虚拟机技术的代码迷惑方法  21-23
  2.4 小结  23-24
3 基于压缩加密以及多态变形的代码迷惑方法  24-37
  3.1 基于LZMA 算法的代码段压缩  24-26
  3.2 基于Hash 动态查找的导入表加解密  26-29
  3.3 加载代码段的代码重定位  29-31
  3.4 多态变形引擎  31-35
  3.5 CEP 代码迷惑方法处理流程  35-36
  3.6 小结  36-37
4 一个代码迷惑工具的设计与实现  37-48
  4.1 总体设计  37-38
  4.2 原始文件压缩模块  38-41
  4.3 加载模块  41-44
  4.4 多态变形处理过程  44-45
  4.5 测试及结果分析  45-46
  4.6 小结  46-48
5 结束语  48-49
  5.1 已完成的工作  48
  5.2 下一步的工作  48-49
致谢  49-50
参考文献  50-52

基于压缩加密及多态变形的代码迷惑方法研究

内容摘要

全文目录

相似论文