检索结果-南通市图书馆

在线全文

学校读者我要写书评

暂无评论

基于动态分析的底层虚拟机混淆器反混淆方法

计算机应用研究 2022年第11期39卷 3465-3469,3474页

作者：寇宇王其军西南石油大学计算机科学学院成都610500 西南石油大学石油与天然气工程学院成都610500

底层虚拟机混淆器(OLLVM)是一个著名的代码混淆工具,除了用于保护商业软件的安全外,也被恶意代码的开发者所利用,以此增加分析难度。为便于安全研究人员对ARM恶意程序进行分析,提出并实现了基于动态分析的OLLVM自动化反混淆方法。对于... 详细信息

底层虚拟机混淆器(OLLVM)是一个著名的代码混淆工具,除了用于保护商业软件的安全外,也被恶意代码的开发者所利用,以此增加分析难度。为便于安全研究人员对ARM恶意程序进行分析,提出并实现了基于动态分析的OLLVM自动化反混淆方法。对于虚假控制流,根据不透明谓词的内存特征监控内存读写并利用动态污点分析技术识别虚假控制流来完成反混淆;对于控制流平坦化,通过动态运行程序并记录基本块的执行顺序来完成反混淆;同时利用多执行路径构造来提高代码覆盖率,最后通过指令修复还原基本块之间的关系。实验结果表明,该方法可准确消除可执行程序中因混淆产生的条件分支,且反混淆后得到的程序其运行结果与未混淆的程序保持一致,能有效完成对ARM混淆程序的反混淆工作。

关键词：反混淆动态分析指令修复底层虚拟机混淆器

面向Android native层代码的反混淆技术研究

在线全文

学校读者我要写书评

暂无评论

面向Android native层代码的反混淆技术研究

作者：郭润生广州大学

学位级别：硕士

随着移动互联网的发展,各类移动应用成为了人们日常生活中不可或缺的一部分。与此同时,移动平台上的恶意软件也层出不穷。因此在移动安全领域针对移动应用的代码分析工作的重要性日益增强,而反混淆就是分析工作中重要的一环。当前的一... 详细信息

随着移动互联网的发展,各类移动应用成为了人们日常生活中不可或缺的一部分。与此同时,移动平台上的恶意软件也层出不穷。因此在移动安全领域针对移动应用的代码分析工作的重要性日益增强,而反混淆就是分析工作中重要的一环。当前的一些反混淆工作主要通过符号执行或是中间代码优化来展开,这些方法都具有一定的局限性:符号执行需要面临复杂不透明谓词造成的路径爆炸问题;中间代码优化对语言格式的转换并不完备,且对Android native层应用最为广泛的ARM/ARM64架构适配有所欠缺。针对native层反混淆的难点,本文提出了一种基于模拟执行的控制流反混淆技术,通过Capstone和IDA pro完成对二进制的反汇编与代码分析工作,并使用Unicorn对真实控制流进行探索,在得到控制流信息后修复控制流图,在此过程中解决了ARM编译优化带来的指令特征变异问题和代码复用问题,使得修复后依然能生成运行结果一致的新可执行文件。在此关键技术的基础上,本文设计了一个基于虚实环境交互的反混淆框架Emuexec D。Emuexec D具有自动定位反混淆地址、监控程序关键行为等功能,并且通过加入真机环境调用的方法,解决了控制流探索中外部指令调用的难题,大幅深化了反混淆的自动化程度。实验结果表明Emuexec D可以针对ARM/ARM64架构下各类突变特性去除OLLVM三大混淆方法对程序的保护从而简化程序代码,并生成结果一致性基本为100%的新可执行文件;同时Emuexec D也具有非常好的扩展性,能够适应新型复杂不透明谓词等经过修改的混淆特性,对分析对象的关键行为可以进行监控,从而提升逆向分析人员对Android恶意程序的分析效率。

关键词：移动应用安全本地代码反混淆模拟执行虚实环境交互

混淆恶意JavaScript代码的检测与反混淆方法研究

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

计算机学报 2017年第7期40卷 1699-1713页

作者：马洪亮王伟韩臻北京交通大学计算机与信息技术学院北京100044 石河子大学信息科学与技术学院新疆石河子832000

针对混淆恶意JavaScript代码很难被检测以及很难被反混淆的问题,深入分析了混淆JavaScript代码的外部静态行为特征和内部动态运行特征.提出一种检测混淆与反混淆方法,设计并实现了一个原型系统.系统通过静态分析检测混淆,通过动态分析... 详细信息

针对混淆恶意JavaScript代码很难被检测以及很难被反混淆的问题,深入分析了混淆JavaScript代码的外部静态行为特征和内部动态运行特征.提出一种检测混淆与反混淆方法,设计并实现了一个原型系统.系统通过静态分析检测混淆,通过动态分析进行反混淆.静态分析只使用正常行为数据进行训练,采用主成分分析(PCA)、单分类支持向量机(One Class SVM)和最近邻(K-NN)算法检测混淆.动态分析分为两个步骤:首先遍历混淆代码抽象语法树(Abstract Syntax Tree)的节点;其次根据节点类型跟踪并分析节点上的相关变量,利用相关的变量终值进行反混淆.从真实环境中收集了总数为80 574条JavaScript正常与混淆恶意代码用于测试.大量的实验结果表明,在选用主成分分析算法时,在误报率为0.1%时,系统对混淆恶意JavaScript代码的检测率能达到99.90%.与此同时,文中提出的反混淆方法对超过80%的混淆代码能进行有效反混淆.

关键词：混淆 Web安全反混淆恶意网页异常检测 JavaScript

基于IDA microcode的控制流反混淆框架设计与实现

在线全文

学校读者我要写书评

暂无评论

桂林电子科技大学学报 2022年第2期42卷 107-116页

作者：符笑彬丁勇钟晓雄郑彦斌桂林电子科技大学广西密码学与信息安全重点实验室广西桂林541004 曲阜师范大学数学科学学院山东曲阜273165

经O-LLVM混淆后的恶意软件存在控制流混乱、可读性差等分析难题,严重影响了安全人员对其进行逆向分析的质量与效率,因此O-LLVM反混淆已经成为二进制安全研究领域的重要研究方向之一。针对已有的O-LLVM反混淆框架只适用标准混淆器,且所... 详细信息

经O-LLVM混淆后的恶意软件存在控制流混乱、可读性差等分析难题,严重影响了安全人员对其进行逆向分析的质量与效率,因此O-LLVM反混淆已经成为二进制安全研究领域的重要研究方向之一。针对已有的O-LLVM反混淆框架只适用标准混淆器,且所支持指令集架构单一的问题,提出了兼容定制化混淆的真实块识别算法和复用块分割算法,通过结合中间语言IDA microcode设计与实现了反混淆框架BinDeob。采用中间语言带来了架构无关的优势,因此BinDeob同时支持ARM32、ARM64、x86、x64等多种指令集架构。在C/C++经典混淆基准和公开的高危安全漏洞数据集上的实验表明,经BinDeob反混淆得到的程序与原始未混淆程序的控制流程图相似度平均值为98.9%,优于参考文献中的反混淆框架,具有更出色的性能。另外,将伪代码相似度作为评估指标,原始程序源代码与BinDeob反混淆得到的伪代码相似度平均值为97.6%。

关键词： IDA microcode LLVM 反混淆控制流混淆逆向工程

AI可变焦散点反混淆技术在心律失常快速诊断中的应用价值分析

在线全文

学校读者我要写书评

暂无评论

中文科技期刊数据库（全文版）医药卫生 2023年第6期 60-63页

作者：柴静帅燕董绪芳单县中心医院山东菏泽274300

探讨心律失常应用AI可变焦散点反混淆技术完成快速诊断所具备的临床应用价值。方法采取回顾性的方式针对2021年1月到2023年1月进入医院接受治疗的145例患有心律失常病症患者,年龄最小的患者为30岁,年里最大的患者为76岁,患者的平均年龄... 详细信息

探讨心律失常应用AI可变焦散点反混淆技术完成快速诊断所具备的临床应用价值。方法采取回顾性的方式针对2021年1月到2023年1月进入医院接受治疗的145例患有心律失常病症患者,年龄最小的患者为30岁,年里最大的患者为76岁,患者的平均年龄为50±5.0岁。均以动态心电图记录仪记录患者24h心电信号,并通过计算机自动检测技术分析数据,绘制24hAI可变焦散点反混淆编辑。根据结果将患者分为室上性早搏、窦性心律、心房颤动、心房扑动、室性早搏五组,比较AI可变焦散点反混淆诊断与24小时动态心电图传统的模板诊断方法诊断结果进行对照,计算能够得出二者之间的符合率,展开及时的分析和精准对比。结果室上性早搏诊断所具备的符合率达到了97.67%,室性早搏诊断所具备的符合率达到了94.73%,心房颤动诊断所具备的符合率达到了100%,心房扑动诊断所具备的符合率达到了100%;两者之间进行对比存在的差异显示,差异具备一定的统计学意义(P反混淆技术在当前心律失常快速诊断过程中的应用具备的临床应用价值相对较小,应用不仅简单同时十分快捷,图形非常的直观,特别是针对室上性早和室性等早搏方式,以及心房颤动和心房扑动在诊断上具备的优势显著。

关键词： AI可变焦反混淆心电散点心律失常快速诊断

维普期刊数据库评论

在线全文

维普期刊数据库

学校读者我要写书评

暂无评论

基于符号执行的底层虚拟机混淆器反混淆框架

计算机应用 2018年第6期38卷 1745-1750页

作者：肖顺陶周安民刘亮贾鹏刘露平四川大学电子信息学院成都610065

针对Miasm反混淆框架反混淆后的结果是一张图片,无法反编译恢复程序源码的问题,在对底层虚拟机混淆器(OLLVM)混淆策略和Miasm反混淆思路进行深入学习研究后,提出并实现了一种基于符号执行的OLLVM通用型自动化反混淆框架。首先,利用基本... 详细信息

针对Miasm反混淆框架反混淆后的结果是一张图片,无法反编译恢复程序源码的问题,在对底层虚拟机混淆器(OLLVM)混淆策略和Miasm反混淆思路进行深入学习研究后,提出并实现了一种基于符号执行的OLLVM通用型自动化反混淆框架。首先,利用基本块识别算法找到混淆程序中有用的基本块和无用块;其次,采用符号执行技术确定各个有用块之间的拓扑关系;然后,直接对基本块汇编代码进行指令修复;最后,得到一个反混淆后的可执行文件。实验结果表明,该框架在保证尽量少的反混淆用时前提下,反混淆后的程序与未混淆源程序的代码相似度为96.7%,能非常好地实现x86架构下C/C++文件的OLLVM反混淆。

关键词： Miasm 底层虚拟机混淆器反混淆符号执行指令修复代码相似度

在线全文

学校读者我要写书评

暂无评论

真实感三维图形生成中混淆与反混淆技术

光电工程 1994年第2期21卷 15-19页

作者：韩绍发孙国良中国科学院光电技术研究所

从采样理论出发，讨论了计算机生成真实感三维图形过程中，产生混淆现象的原因，以及进行反混淆的一般原理和方法，提出了针对机械零件图形的反混淆算法。该算法具有简单快速的特点，并能获得较好效果，适于微机上的反混淆处理。

关键词：计算机图解三维显示采样反混淆图形生成

在线全文

学校读者我要写书评

暂无评论

代码虚拟化的反混淆技术研究

代码虚拟化的反混淆技术研究

作者：谢海疆上海交通大学

学位级别：硕士

为了对抗软件逆向工程,当前很多商业软件中的敏感代码都会被代码虚拟保护技术保护起来。代码保护技术会将程序的原始机器指令转换成只有虚拟机才能解释执行的虚拟机字节码,对于每个被保护的应用程序而言,这些虚拟机字节码和虚拟机都是... 详细信息

为了对抗软件逆向工程,当前很多商业软件中的敏感代码都会被代码虚拟保护技术保护起来。代码保护技术会将程序的原始机器指令转换成只有虚拟机才能解释执行的虚拟机字节码,对于每个被保护的应用程序而言,这些虚拟机字节码和虚拟机都是唯一的。经过虚拟化保护的程序的运行开销会增加,并且很难被维护和调试,因此代码虚拟保护技术同样可被恶意软件用来逃脱杀毒软件对其程序中恶意代码的检测。本文中,我们对代码虚拟化保护器做了一个深入的研究,提出一个可简化虚拟机代码的通用反混淆方法。我们的方法首先从程序中精确地定位出字节码的译码解释流程,并将程序中嵌入的虚拟机划分为若干处理函数,随后将处理函数中与虚拟机的状态更新相关的指令提取出来,对齐进行优化并翻译成易读的中间语言,便于逆向工程师进行分析。我们开发了一个叫“夜莺”的二进制翻译工具,可自动地对Intel x86和x64二进制程序进行反混淆。我们使用了三种不同的商业代码混淆器对一组开源的反代码混淆测试程序进行混淆,结果显示本文的方法可有效地简化虚拟机保护过的程序,实现反混淆。

关键词：逆向工程软件保护代码虚拟化混淆反混淆

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于动态符号执行的不透明谓词反混淆算法

西华大学学报（自然科学版） 2018年第3期37卷 73-77页

作者：宋雪勦张俊何明星西华大学计算机与软件工程学院四川成都610039

恶意软件、漏洞利用程序等层出不穷,这些程序通常会利用代码混淆来增加其分析难度,以此来延长生存周期。不透明谓词混淆是代码混淆中的主要方法之一。目前通过数据流分析消除程序中的不可达路径是不透明谓词的主要反混淆方法。文章提出... 详细信息

恶意软件、漏洞利用程序等层出不穷,这些程序通常会利用代码混淆来增加其分析难度,以此来延长生存周期。不透明谓词混淆是代码混淆中的主要方法之一。目前通过数据流分析消除程序中的不可达路径是不透明谓词的主要反混淆方法。文章提出一种基于动态符号执行的路径不可达分析的不透明谓词反混淆算法,通过控制流图分析得到每个函数的基本块,然后对含有分支的基本块进行路径可达性分析,去除不可达路径。原型系统实验结果表明,该算法的平均反混淆率在80%左右。

关键词：混淆不透明谓词反混淆动态符号执行路径可达性