ROPDetector:一种基于硬件性能计数器的ROP攻击实时检测方法

摘要：

面向返回编程(Return-Oriented Programming,ROP)是针对软件漏洞利用最广泛的攻击技术之一,能够绕过数据执行保护、地址空间布局随机化等防御机制.本文提出了一种基于硬件的ROP攻击实时检测方法,在不需要任何边缘信息(如源代码、编译器支持)和二进制重写的情况下,利用现代CPU中的硬件性能计数器监控目标程序执行过程,提取ROP攻击发生时底层硬件事件特征来实时检测ROP攻击.然后,在32位Linux实验环境下实现了原型系统ROPDetector,使用真实的ROP攻击与漏洞进行实验,并与同类方法进行了对比实验,最后评估了系统的性能消耗.实验结果表明,该方法能有效地检测真实的ROP攻击,在分别以6次和9次错误预测返回指令为检测周期时,系统性能消耗仅有5.05％和5.25％,磁盘I/O性能消耗仅有0.94％和2％,网络I/O性能消耗仅有0.06％和0.78％.

关键词：面向返回编程、硬件事件、实时检测、硬件性能计数器、错误预测返回指令

所属期刊栏目：44

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金;国家自然科学基金;四川省科技支撑计划

在线出版日期：2021-06-02（万方平台首次上网日期，不代表论文的发表时间）

页数：共12页

页码：761-772