检索结果-南通市图书馆

Tackling imbalanced data in cybersecurity with transfer learning: a case with ROP payload detection

Cybersecurity 2023年第2期6卷 29-43页

作者： Haizhou Wang Anoop Singhal Peng Liu College of Information Sciences and Technology The Pennsylvania State UniversityState CollegeUSA The National Institute of Standards and Technology GaithersburgUSA

In recent years,deep learning gained proliferating popularity in the cybersecurity application domain,since when being compared to traditional machine learning methods,it usually involves less human efforts,produces better results,and provides better ***,the imbalanced data issue is very common in cybersecurity,which can substantially deteriorate the performance of the deep learning *** paper introduces a transfer learning based method to tackle the imbalanced data issue in cybersecurity using return-oriented programming payload detection as a case *** achieved 0.0290 average false positive rate,0.9705 average F1 score and 0.9521 average detection rate on 3 different target domain programs using 2 different source domain programs,with 0 benign training data sample in the target *** performance improvement compared to the baseline is a trade-off between false positive rate and detection *** our approach,the total number of false positives is reduced by 23.16%,and as a trade-off,the number of detected malicious samples decreases by 0.68%.

关键词： Domain adaptation return-oriented programming Imbalanced dataset

来源：

维普期刊数据库评论

在线全文

维普期刊数据库

学校读者我要写书评

暂无评论

基于内存页流验证的ROP防御方案

基于内存页流验证的ROP防御方案

引用

作者：高士翔南京大学

学位级别：硕士

随着网络与信息技术的迅速发展,计算机软件系统在社会生活中扮演着越来越重要的角色。与此同时,由于部分高级语言“为了效率而不做边界检查”这一特征和软件开发人员很难写出完全没有漏洞的软件这一事实,各种程序漏洞仍然很普遍,在遗留... 详细信息

随着网络与信息技术的迅速发展,计算机软件系统在社会生活中扮演着越来越重要的角色。与此同时,由于部分高级语言“为了效率而不做边界检查”这一特征和软件开发人员很难写出完全没有漏洞的软件这一事实,各种程序漏洞仍然很普遍,在遗留软件系统中尤其如此。通过这些漏洞,攻击者可以劫持软件系统正常的控制流并将其转向自己预设的控制流,从而实施攻击。常见的代码复用攻击依赖内存中常驻代码的绝对地址。针对这种类型的攻击,有多种防御方案,包括地址空间随机化。"Just-in-Time"攻击,针对现有的细粒度地址空间随机化技术,利用x86架构下内存页无读权限保护的缺陷,实时读取内存映像,搜集可用的gadget,使用动态编译技术构造ROP攻击。针对恶意代码可能窥视内存信息的行为,XnR技术基于Linux和Windows内核,以软件的方式实现了对内存页面的读保护。但是,该技术仍然存在被针对性的复杂实时ROP攻击的可能性。实时ROP主要针对地址空间随机化技术。现有多种防御实时ROP的思路。完全基于软件实现的XnR方案在防御实时ROP方面表现出色。因此,在其基础上改进缺陷,构建实时ROP防御方案,不失为一种有效的策略。本文首先介绍了当前地址空间随机化技术的研究进展,并对实时ROP的相关背景进行了阐述。其次,本文给出了基于XnR技术的软件改进策略：内存页流向的合法性验证。由于ROP攻击搜寻内存中的常驻代码,构建gadget序列,控制流可能在多个页面间产生跳转。本文借鉴了CFI控制流验证的思想,将程序运行时页面调度顺序与原有的程序代码页面流作对比,监测非法的页面流向。要实现基于内核的内存页流合法性验证,有两个技术难点：一是间接转移指令目的地址的分析;二是记录程序运行时的页面流向。对于间接转移指令的分析,是为了得到代码指令间的依赖关系,进而获得程序原有的合法运行流。本文基于SSA中间表达形式、表达式扩散以及值分析技术,改进现有的控制流分析技术,对二进制文件进行控制流分析,构建函数间以及函数和数据间的依赖关系,跨过程回溯追踪间接转移指令的目的地址。为了记录程序运行时流向,本文实现并改造了XnR方案的滑动窗口,将运行时页面信息记录在磁盘上,作为后期分析对比的依据。即使是窗口的大小只有6页,程序的平均开销也只增加了5.1%。实现的原型通过实验,已被证明能够更有效地分析程序控制流图,并能够监控程序的实时运行。在今后的研究中,我们将继续完善上述防御方案,并实现带有读保护的硬件架构。拥有读权限硬件支持的软硬件协同防御策略,可以同时完美解决当前XnR的缺陷：性能不足和范围不足。

关键词： return-oriented programming 地址空间随机化控制流分析程序安全

来源：

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

一种基于ROP的改进型攻击English ROP

一种基于ROP的改进型攻击English ROP

引用

作者：秦佳佳南京大学

学位级别：硕士

代码注入型攻击是现代计算机系统中最常见的攻击之一,随着W（?）X和DEP保护机制的引入,很大程度上减小了代码注入型攻击的影响,然而,2007年一种新型的代码复用型攻击技术return-oriented programming（ROP）被引进,它被证明可以绕过W（?... 详细信息

代码注入型攻击是现代计算机系统中最常见的攻击之一,随着W（?）X和DEP保护机制的引入,很大程度上减小了代码注入型攻击的影响,然而,2007年一种新型的代码复用型攻击技术return-oriented programming（ROP）被引进,它被证明可以绕过W（?） X和DEP保护机制并且具备图灵完备性。随后很多针对ROP攻击进行防御或检测的技术被提出。最近,几种新的防御方法被提出,他们主要针对ROP payload。这些方法通过动静态结合的技术查看payload中是否包含有连续的指向gadget的地址,从而准确的定位是否含有ROP攻击。（例如,自动移除malware中ROP的工具deRop,针对ROP Pay-load进行扫描的工具ROPscano）为了绕过这些防御技术,在本文中我们提出了一种ROP的改进型攻击-English ROP,它在实现ROP攻击的同时,其外在形式和结构上类似于正常的英文文章。也就是说,在我们不考虑语义信息时,无法把它和正常的英文文章区分开。和传统ROP不同的是,English ROP是由可打印的地址和数据组成的,因此本文首先说明了English ROP的图灵完备性,然后详细介绍了English ROP的构造过程。此外,基于English ROP,我们构造了两个具体的ROP混淆工具。一是构建了一个自我兼容的English ROP decoder,该decoder对已编码的ROP payload自动解码,这样我们就可以构造任意的encoded ROP来绕过针对ROP payload进行检测的防御工具。二是构造了一个可以有多个可打印地址得到不可打印地址的English ROP转换器,有了该转换器我们就可以通过几个可打印的数据得到最终的不可打印数据。最后,我们的English ROP不仅仅针对以ret结尾的gadget,而且对以call、jmp结尾的gadget也同样适用。

关键词：代码注入型攻击 return-oriented programming ROP payload English ROP English ROP解码器 English ROP转换器

来源：

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

“X”OP攻击动态检测技术

“X”OP攻击动态检测技术

引用

作者：曹思宇电子科技大学

学位级别：硕士

面向返回导向的编程(return-oriented programming, ROP)是一种基于代码复用技术的新型攻击方法,攻击者从已有的库或可执行文件中提取指令片段,构建恶意代码来修改内存权限、创建进程和偷取文件等。它通过调用系统内存中已经存在的二进... 详细信息

面向返回导向的编程(return-oriented programming, ROP)是一种基于代码复用技术的新型攻击方法,攻击者从已有的库或可执行文件中提取指令片段,构建恶意代码来修改内存权限、创建进程和偷取文件等。它通过调用系统内存中已经存在的二进制代码片段(Gadget)来构成一个图灵完全的攻击序列,可以绕过当前操作系统的保护机制,由此给计算机系统和网络带来了极大的安全威胁。ROP技术自2007年由Schacham提出来后,得到了迅速的应用和发展。ROP攻击最初是在Linux的32位平台上实现,后来在多种软硬件平台上也实现ROP攻击。ROP 的变种 JOP ( Jump-oriented programming) 和 BIOP ( Branch Instruction-oriented programming)等,更进一步丰富了 ROP。针对 ROP 攻击越演越烈的趋势,本文提出一种基于行为特征的ROP及其变种攻击检测技术,即“X”OP攻击动态检测技术,“X”OP代表ROP及其变种的统称,该检测技术利用Pin插桩工具实现,能对当前已知的ROP及其变种攻击检测。本文的主要工作如下:首先,本文深入研究了“X”OP攻击的基本原理,分析比较了“X”OP攻击检测技术的优缺点,发现了当前检测方案只能针对单一类型攻击检测的问题,提出了以“X”OP攻击共同特征为基础的检测思想。然后,分析了正常程序和“X”OP攻击中jmp指令、call指令以及ret指令的行为区别,提取“X”OP攻击中jmp指令、call指令以及ret指令的特征。根据以上研究,提出了基于行为特征的新检测方案。最后,构建“X”OP攻击动态检测原型系统,并选取样本对该系统进行了功能测试和性能测试,实验结果表明该系统能对ROP攻击及其变种实现有效检测。

关键词： return-oriented programming 代码复用行为特征转移指令

来源：

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

欢迎您,

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

在线全文

在线全文

在线全文

在线全文

请选择保存的检索档案：

请选择收藏分类：

通借通还

欢迎您,

建议与咨询 留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

在线全文

在线全文

在线全文

在线全文

请选择保存的检索档案： 新增检索档案 确定 取消

请选择收藏分类： 新增自定义分类 确定 取消

通借通还

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

请选择保存的检索档案：

请选择收藏分类：