S-Tracker：基于栈异常的 shellcode 检测方法

• 作者: 傅建明 彭国军 彭碧琛 梁玉
• 来源期刊: 华中科技大学学报（自然科学版）
• 学科: 工学
• 关键词: 软件安全 shellcode检测 栈帧遍历 栈异常 ROP攻击
• 年，卷（期）: 2014,（11）
• 页码范围: 39-46
• 页数: 8页
• 分类号: TP309
• 语种: 中文
• DOI: 10.13245/j.hust.141108

摘要

根据shellcode的API函数及系统调用对栈帧的影响，定义了EBP异常、Ret异常和长度异常，并在此基础上提出了基于栈异常的shellcode检测方法---S-Tracker 。该方法遍历特定敏感API函数的栈帧链、检测异常、定位漏洞函数和Shellcode代码，并采用栈帧重构解决了栈帧中的EBP缺失或破坏的问题。实验结果表明：S-Tracker能有效检测到基于普通shellcode、混合型shellcode以及纯ROP shellcode的攻击行为，具备追踪shellcode分布区域和EIP跳转函数的功能，且其性能开销较小、没有误报；与微软EM ET 工具相比，S-T racker在内核层实现，更加难以被攻击者绕过。

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	彭国军	武汉大学计算机学院	40	332	10.0	17.0
5	梁玉	武汉大学计算机学院	4	23	2.0	4.0
6	傅建明	武汉大学计算机学院	52	412	10.0	18.0
10	彭碧琛	武汉大学计算机学院	2	9	2.0	2.0