恶意软件网络协议的语法和行为语义分析方法

• 作者: 冯登国 应凌云 杨轶 苏璞睿
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: 恶意软件分析 网络协议逆向分析 动态分析 网络安全
• 年，卷（期）: 2011,（7）
• 所属期刊栏目: 计算机网络与信息安全
• 页码范围: 1676-1689
• 分类号: TP393
• 字数: 13073字
• 语种: 中文
• DOI: 10.3724/SP.J.1001.2011.03858

摘要

网络协议逆向分析是恶意软件分析的一项重要内容.现有的网络协议逆向分析方法主要考虑获取消息格式和协议语法,缺少数据的行为语义,导致分析者难以在网络数据和恶意软件行为之间建立起对应关系.提出一种网络协议的语法规范和字段行为语义分析方法,该方法利用基于虚拟执行环境的动态程序分析技术,通过分析恶意软件对网络数据的解析过程提取协议语法信息,并根据恶意软件对协议字段的使用方式获取字段的程序行为语义.通过结合API拦截和指令执行监控,该方法降低了分析复杂度,提高了分析效率.在所设计和实现的原型系统Prama(protocol reverse analyzer for malware analysis)上的实验结果表明,该方法能够较为准确地识别字段,提取协议语法规范,并能在命令字段与其引起的程序行为之间建立起有效的对应关系.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	冯登国	中国科学院软件研究所信息安全国家重点实验室	243	6305	35.0	71.0
5	苏璞睿	中国科学院软件研究所信息安全国家重点实验室	44	734	17.0	26.0
6	应凌云	中国科学院软件研究所信息安全国家重点实验室	15	201	6.0	14.0
12	杨轶	中国科学院软件研究所信息安全国家重点实验室	7	229	5.0	7.0