基于QEMU的Linux应用异常通信行为分析

摘要：

文中提出了一种基于QEMU的异常通信行为的半自动分析方法(Socket Analysis based on QEMU,SAQ),该方法能够及时发现Linux中elf格式应用程序的异常通信,预防信息泄露.通过改写QEMU,开发了一款动态跟踪工具QEMU-TRACER,SAQ可利用QEMU-TRACER定位应用程序中的可疑通信函数;通过二进制代码修改,逐一屏蔽可疑通信函数,并通过对比修改前后程序行为的变化来确定和清除异常的网络通信.针对OpenSSH和ProFTPD的测试表明,SAQ能够发现并成功屏蔽其中的异常通信行为.

关键词：隐蔽通信、动态跟踪、QEMU模拟器、函数调用、二进制修改

所属期刊栏目：45

分类号：TP391(计算技术、计算机技术)

资助基金：核高基项目2012ZX01039-004-4,2012ZX01039-003

在线出版日期：2018-06-15（万方平台首次上网日期，不代表论文的发表时间）

页数：共8页

页码：89-96