CN104751056A - 一种基于攻击库的漏洞验证***与方法 - Google Patents

Abstract

本发明属于网络安全技术领域，涉及一种基于攻击库的漏洞验证***与方法。所述***包括漏洞分选器、虚拟处理器、结果分析器以及最终形成的攻击库。首先应用所述***对收集的漏洞样本进行漏洞样本构造，经样本分解后的元漏洞交由虚拟处理器进行处理，处理结果由结果分析器进行分析，经过整合可利用的漏洞样本形成攻击库，并对每个元漏洞编写漏洞验证脚本存入攻击库。针对新的漏洞样本，经分析处理匹配攻击库中的验证脚本进行漏洞验证。本发明能够自动调用对应的验证脚本进行漏洞验证，减少了测试人员人工分析及验证漏洞的劳动力，提高了漏洞验证效率。

Description

一种基于攻击库的漏洞验证***与方法

技术领域

本发明属于网络安全技术领域，涉及一种基于攻击库的漏洞验证***与方法。

背景技术

由于软件在功能设计、编码实现中存在不足，导致软件不可避免地存在安全漏洞，随着攻击技术的不断发展，漏洞成为影响软件安全的首要因素，漏洞的存在为攻击者恶意入侵大开方便之门，成为木马、病毒等恶意代码肆意传播的入口和途径。为提高软件安全性，对软件进行漏洞检验以减低软件安全风险，由于软件漏洞扫描易产生误报，因此需对漏洞扫描结果进行验证。

漏洞验证是根据漏洞检测中获得的安全漏洞的具体情况，构造相应的情景环境展示漏洞的存在和它的危险性。情景环境是在一个受控环境下的模拟攻击演示，根据漏洞进行相应利用，在不危害***安全的情况下，说明漏洞的存在及其危险性。

漏洞验证以漏洞扫描结果为基础，针对漏洞的承载平台、漏洞类型、触发条件等个性特征设计验证方法，由测试人员手动编写漏洞验证利用脚本，验证目标对象漏洞的真实存在性以及漏洞被利用的危害性。目前的漏洞验证方法需针对不同目标的漏洞及漏洞形成原因的不同进行特殊设计。通过查阅漏洞验证文献及技术博客，有研究人员对不同类型漏洞进行研究，例如上海交通大学徐启杰的论文《基于Win32平台的漏洞挖掘和漏洞利用技术研究》中，基于Win32平台的溢出类漏洞进行分析和验证。而上海交通大学周璐发表的论文《安全协议的漏洞分析及自动验证工具》中，提出了针对安全协议的漏洞检测方法，设计了一种基于模型检测方法的安全协议正确性分析工具，实现了对给定的安全协议进行检测、并输出可能的安全漏洞的功能。分析现有资料和技术，已有针对各类不同漏洞的验证手段和方法，包括软件、协议、操作***等各类目标，但从实践的角度看，目前的漏洞验证存在以下不足：

由于不同漏洞的目标承载平台、成因等存在不同，针对不同漏洞的验证方法也有所不同，需要测试人员具有较高素质，对各种平台、软件等目标有所了解，并且对各类编程语言和实现技术需熟练掌握，对研究人员能力提出较高要求。这一状况导致漏洞验证工作实现较难。

缺乏有效的漏洞验证方法，需要验证人员手工进行验证脚本编写或方法设计，人工参与程度较高，无法满足自主化的漏洞验证要求。

发明内容

针对现有验证方法存在的上述问题，本发明提出一种基于攻击库的漏洞验证***与方法，所述漏洞验证***，对提交的领导样本进行自动验证，分析漏洞是否存在以及漏洞的危害。

为达到上述目的，本发明采用以下技术方案：

一种通过基于攻击库的漏洞验证***，其特征在于，所述***包括漏洞分选器、虚拟处理器、结果分析器以及最终形成的攻击库。其中，

分选器：接收漏洞样本，负责对样本进行筛选分类。由类型判定模块、参数配置模块及分发模块组成。类型判定模块用于分析样本所运行环境的类型；参数配置模块用以对漏洞运行参数进行控制或配置；分发模块负责将通过类型判定和参数配置的漏洞样本分发给相应的虚拟机。

虚拟处理器：由统一处理模块、虚拟机及虚拟机代理模块构成。统一处理模块接收漏洞样本并分发给对应的虚拟机；虚拟机是漏洞样本运行的虚拟环境，不同的虚拟机安装不同操作***，并安装相应应用软件；虚拟机代理模块内置在每台虚拟机中，负责处理软件漏洞样本并收集结果反馈给结果分析器。

虚拟机代理器包括：

环境信息收集子模块：收集当前***中的安装的应用软件信息。

环境验证子模块：从环境信息收集子模块获取测试环境中的软件列表信息，验证漏洞样本所需要的测试目标软件及其相关版本号在不在相应的测试环境中。

样本检测子模块：监视漏洞样本的运行，给出测试结果。

异常信息收集子模块：收集样本运行中的异常信息，用于分析样本行为。

环境信息控制子模块：若测试环境安装了新的软件，则该子模块负责向环境验证子模块发送请求，进而要求环境信息收集子模块重新获取***软件列表信息。

结果分析器：对虚拟机代理模块上报的漏洞样本进行分析，根据漏洞影响目标、成因、位置等分析漏洞具体内容。

攻击库：漏洞样本经验证有效后，将漏洞相关信息及编写的验证脚本共同存入并形成攻击库。

利用所述***进行漏洞验证的方法，其特征在于包括以下步骤：

步骤1：收集漏洞样本。

通过安全网站或论坛、自主研究或其他渠道收集漏洞样本。将收集的不可直接利用的漏洞样本进行构造，形成可用的漏洞样本。对收集和改造的漏洞样本进行统一的命名。

步骤2：漏洞分解处理。

将漏洞样本经分选器进行筛选并交由虚拟处理器进行漏洞分解处理，形成元漏洞样本，元漏洞样本为某一基本类型漏洞。

步骤3：结果分析。

虚拟处理器将漏洞样本的分解结果交给结果分析器。通过测试的可利用的元样本将被存入攻击库中。

步骤4：分析攻击库中的元样本，编写验证脚本并存入攻击库中。

步骤5：将待验证的漏洞样本经虚拟处理器进行分解形成子样本，与攻击库中的元样本进行匹配，从而选取对应的验证脚本进行漏洞验证。

与现有技术相比，本发明具有以下优点：

(1)漏洞样本经验证后确认其有效性，针对可用的漏洞样本再根据漏洞情况经人工分析将漏洞信息形成攻击库，可为漏洞验证工作形成专家知识库。

(2)待验证漏洞通过虚拟处理器进行行为分析，与攻击库中的元漏洞进行比较匹配，从而自动调用对应的验证脚本进行漏洞验证，减少了测试人员人工分析及验证漏洞的劳动力，提高了漏洞验证效率。

附图说明

图1为本发明所述***的组成框图；

图2为本发明所述攻击库的结构图；

图3为虚拟机代理模块的结构图；

图4为本发明所述方法的流程图。

具体实施方式

下面结合附图和具体实施方式对本发明做进一步说明。

图1是本发明所述漏洞验证件***的组成框图，包括分选器1、虚拟处理器2、结果分析器3，以及最终形成的攻击库4。其中，

分选器1：接收漏洞样本，负责对样本进行筛选分类。由类型判定模块11、参数配置模块12及分发模块13组成。类型判定模块11用于分析样本所运行环境的类型；参数配置模块12用以对漏洞运行参数进行控制或配置；分发模块13负责将通过类型判定和参数配置的漏洞样本分发给相应的虚拟机。

虚拟处理器2：由统一处理模块21、虚拟机22及虚拟机代理模块23构成。统一处理模块21接收漏洞样本并分发给对应的虚拟机22；虚拟机22是漏洞样本运行的虚拟环境，不同的虚拟机安装不同操作***，并安装相应应用软件；虚拟机代理模块23内置在每台虚拟机22中，负责处理软件漏洞样本并收集结果反馈给结果分析器1。

虚拟机代理模块23的组成如图3所示，包括：

环境信息收集子模块231：收集当前***中的安装的应用软件信息。

环境验证子模块232：从环境信息收集子模块获取测试环境中的软件列表信息，验证漏洞样本所需要的测试目标软件及其相关版本号在不在相应的测试环境中。

样本检测子模块233：监视漏洞样本的运行，给出测试结果。

异常信息收集子模块234：收集样本运行中的异常信息，用于分析样本行为。

环境信息控制子模块235：若测试环境安装了新的软件，则该子模块负责向环境验证子模块232发送请求，进而要求环境信息收集子模块231重新获取***软件列表信息。

结果分析器3：对虚拟机代理模块23上报的漏洞样本进行分析，根据漏洞影响目标、成因、位置等分析漏洞具体内容。

攻击库4：漏洞样本经验证有效后，将漏洞相关信息及编写的验证脚本共同存入并形成攻击库4。图2是攻击库4的结构图。攻击库4包括元漏洞的基本信息、详细信息以及针对元漏洞的验证脚本。其中元漏洞为漏洞样本经分选器分解后形成的最小漏洞样本，元漏洞的基本信息以及详细信息记录了漏洞的独特性，是漏洞验证时进行区分的主要依据。

利用所述***进行漏洞验证的方法流程图如图4所示，具体包括以下步骤：

步骤1：漏洞样本收集。

步骤1.1：通过安全网站、相关论坛、高校及研究机构或其他渠道进行漏洞样本收集，样本类型可以是已知漏洞或0day漏洞。

步骤1.2：分析漏洞的可利用情况，将收集的样本中不可利用的个体进行改造，形成可用的漏洞样本。

步骤1.3：对收集和改造的漏洞样本进行统一的命名，样本命名规则遵循如下格式：[日期]-[人员]-[来源]-[类型]。其中日期表示样本收集时间；人员表示分析样本人员，多名人员处理则采用人员1+人员2的方式；来源表示样本收集的渠道；类型表示样本类型，为样本分解处理做准备。

步骤2：分解漏洞样本。

将漏洞样本经分选器1进行筛选并交由虚拟处理器2进行漏洞分解处理，形成元漏洞样本，元漏洞样本为某一基本类型漏洞。

步骤2.1：判断漏洞样本所运行和依赖的环境类型，也包括漏洞影响环境、软件的类型。类型判断包括对目标的类别、名称和版本等方面进行判断，其中类别分为操作***、应用软件等。

步骤2.2：配置漏洞样本运行参数。

多数漏洞样本运行时的参数默认为空，而有些漏洞需要配置相应参数。此步骤针对需要配置运行参数的漏洞样本进行操作。

步骤2.3：类型判断和参数配置后的漏洞样本即为漏洞元样本，将元样本发送给虚拟处理器2进行下一步操作。

步骤3：虚拟处理器2收到样本信息，对样本的漏洞进行处理并经分析器1进行分析，最终将样本存入攻击库4。

步骤3.1：首先判断样本类型，根据样本为操作***类型或是应用软件类型的不同由不同的虚拟机22进行处理。

步骤3.2：针对操作***的漏洞样本，虚拟处理器2虚拟各类操作***作为测试环境对其进行测试。

针对应用软件，按照软件分类进行虚拟环境构建，分为办公类软件、浏览器类软件、聊天工具类软件、媒体工具类软件、下载工具类软件等。同类的软件可安装在同一个虚拟机中。

步骤3.3：由虚拟机22中的代理端负责对漏洞样本进行分析。

首先收集当前***中安装的应用软件信息，以windows操作***为例可以从注册表读取相关信息，例如枚举注册表“SOFTWARE\\Microsoft\\Windows\\CurentVersion\\Uninstall”下的键值。根据获取的测试环境中的软件列表信息，判断漏洞样本所需要的测试目标软件及其相关版本号是否存在于测试环境中。

步骤3.4：漏洞样本加载到虚拟机22中运行，同时监视漏洞样本的运行情况，分析样本测试结果。

样本运行过程应检测样本检测阶段是否结束，如果结束则退出，否则启动调试进程，以调试方式启动目标程序，再由目标程序加载漏洞样本。样本在目标程序中的运行全过程都受到调试进程的监视，监视是否有异常发生。在调试进程监视目标进程加载样本漏洞的运行情况时，如果捕获到异常信息，对异常信息进行分析。

步骤3.5：通过漏洞样本的加载运行及分析，可知漏洞的运行相关信息，包括漏洞承载平台、危害目标、触发条件等。将漏洞样本及上述信息存入攻击库4中。

步骤4：分析攻击库4中的元样本，编写验证脚本并存入攻击库4中。

由测试人员分析漏洞样本，根据漏洞形成原因，以承载平台为基本内容，模拟漏洞触发条件，编写验证脚本或设计方法进行漏洞攻击验证。确认漏洞验证成功后，将漏洞验证脚本或方法存入攻击库4中。从而形成漏洞验证攻击知识库。

步骤5：当收到待验证的攻击样本后，所述***将待验证的漏洞样本经分选器1进行样本分解，形成的样本加载到虚拟处理器2进行模拟运行，判断样本测试结果，并匹配攻击库4中与元样本信息相同或相似的漏洞，从而选取对应的验证脚本进行漏洞验证。

基于攻击库4对漏洞进行验证后，需对验证结果进行分析，判断攻击库4中的漏洞验证方法是否能够支持待验证漏洞。如果成功触发漏洞并返回结果，则可将待验证漏洞样本加入攻击库4中。如果验证过程发生错误或检测到异常，由验证人员对漏洞及验证脚本进行分析，修改脚本内容或重新编写脚本，完善攻击库4。

下面给出本发明的一个应用实例。

依据以上步骤，将某漏洞样本交给漏洞验证***进行验证。样本处理后命名为[20141104]_[ht]_[exploits-db]_[aM_Yahoo！Player_1.0].m3u。通过分选器中的类型判定判断名称中的“类型字段”，然后将该样本下发到媒体工具集群的虚拟机测试环境中。经对应虚拟机环境分析可知测试环境中具有符合该目标的软件。

接下来对样本进行检测和分析。默认情况下该模块根据样本的类型启动相应的目标程序并加载样本后自动调用命令码“g”，待检测样本运行结束后调用命令码“an”自动分析运行结果。根据分析模块分析后，***给出了该样本检测后的寄存器信息以及初步原因分析信息：当键入“an”分析命令后会分析返回地址记录中是否有被修改过为垃圾数据(如样本中常用的“AAAA”、“0x909090”等)的行为，进而给出是哪个返回地址被修改。在验证平台给出分析结果的基础上，可进行人工分析进行精确定位，最终确定导致栈溢出的点。

明确了漏洞的形成原因及漏洞点后，进行漏洞验证匹配，最终找到漏洞[20140819]_[ht]_[exploits-db]_[QitooPlayer_1.0].m3u样本的验证脚本进行验证，成功造成验证漏洞溢出。

通过漏洞验证平台对目标程序加载样本后的运行情况的监视以及分析，可以给出初步分析结果，结合人工分析最终确定漏洞代码片段，并利用攻击库中的验证脚本实现对漏洞的验证。如果单纯进行人工分析，无法快速判断漏洞类型及定位，甚至需要人工编写漏洞验证脚本。由此看出该漏洞验证平台可提高研究人员的分析效率，其对漏洞判断及验证有较大帮助。

Claims (7)

1.一种基于攻击库的漏洞验证***，其特征在于所述***包括：分选器(1)，虚拟处理器(2)，结果分析器(3)，以及最终形成的攻击库(4)；其中，

分选器(1)：接收漏洞样本，负责对样本进行筛选分类，由类型判定模块(11)、参数配置模块(12)及分发模块(13)组成；类型判定模块(11)用于分析样本所运行环境的类型；参数配置模块(12)用以对漏洞运行参数进行控制或配置；分发模块(13)负责将通过类型判定和参数配置的漏洞样本分发给相应的虚拟机；

虚拟处理器(2)：由统一处理模块(21)、虚拟机(22)及虚拟机代理模块(23)构成；统一处理模块(21)接收漏洞样本并分发给对应的虚拟机(22)；虚拟机(22)是漏洞样本运行的虚拟环境，不同的虚拟机安装不同操作***，并安装相应应用软件；虚拟机代理模块(23)内置在每台虚拟机(22)中，负责处理软件漏洞样本并收集结果反馈给结果分析器(3)；

结果分析器(3)：对虚拟机代理模块(23)上报的漏洞样本进行分析，根据漏洞影响目标、成因、位置等分析漏洞具体内容；

攻击库(4)：漏洞样本经验证有效后，将漏洞相关信息及编写的验证脚本共同存入并形成攻击库(4)；所述攻击库(4)包括元漏洞的基本信息、详细信息以及针对元漏洞的验证脚本；其中元漏洞为漏洞样本经分选器分解后形成的最小漏洞样本，元漏洞的基本信息以及详细信息记录了漏洞的独特性，是漏洞验证时进行区分的主要依据。

2.根据权利要求1所述的一种基于攻击库的漏洞验证***，其特征在于，所述虚拟机代理模块(23)还包括：

环境信息收集子模块(231)：收集当前***中的安装的应用软件信息；

环境验证子模块(232)：从环境信息收集子模块(231)获取测试环境中的软件列表信息，验证漏洞样本所需要的测试目标软件及其相关版本号是否在相应的测试环境中；

样本检测子模块(233)：监视漏洞样本的运行，给出测试结果；

异常信息收集子模块(234)：收集样本运行中的异常信息，用于分析样本行为；

环境信息控制子模块(235)：若测试环境安装了新的软件，则该子模块负责向环境验证子模块(232)发送请求，进而要求环境信息收集子模块(231)重新获取***软件列表信息。

3.一种应用权利要求1所述***进行漏洞验证的方法，其特征在于包括以下步骤：

步骤1：漏洞样本收集；

步骤2：分解漏洞样本；

将漏洞样本经分选器(1)进行筛选并交由虚拟处理器(2)进行漏洞分解处理，形成元漏洞样本，元漏洞样本为某一基本类型漏洞；

步骤3：结果分析；

虚拟处理器(2)收到样本信息，对样本的漏洞进行处理并经分析器1进行分析，最终将样本存入攻击库(4)；

步骤4：分析攻击库(4)中的元样本，编写验证脚本并存入攻击库(4)中；

由测试人员分析漏洞样本，根据漏洞形成原因，以承载平台为基本内容，模拟漏洞触发条件，编写验证脚本或设计方法进行漏洞攻击验证；确认漏洞验证成功后，将漏洞验证脚本或方法存入攻击库(4)中；从而形成漏洞验证攻击知识库；

步骤5：基于攻击库(4)对漏洞进行验证；

当收到待验证的攻击样本后，所述***将待验证的漏洞样本经分选器(1)进行样本分解，形成的样本加载到虚拟处理器(2)进行模拟运行，判断样本测试结果，并匹配攻击库(4)中与元样本信息相同或相似的漏洞，从而选取对应的验证脚本进行漏洞验证。

4.根据权利要求3所述的方法，其特征在于，步骤1所述漏洞样本收集还包括以下步骤：

步骤1.1：通过安全网站、相关论坛、高校及研究机构或其他渠道进行漏洞样本收集，样本类型是已知漏洞或0day漏洞；

步骤1.2：分析漏洞的可利用情况，将收集的样本中不可利用的个体进行改造，形成可用的漏洞样本；

步骤1.3：对收集和改造的漏洞样本进行统一的命名，样本命名规则遵循如下格式：[日期]-[人员]-[来源]-[类型]；其中日期表示样本收集时间；人员表示分析样本人员，多名人员处理则采用人员1+人员2的方式；来源表示样本收集的渠道；类型表示样本类型，为样本分解处理做准备。

5.根据权利要求3所述的方法，其特征在于，步骤2所述分解漏洞样本还包括以下步骤：

步骤2.1：判断漏洞样本所运行和依赖的环境类型，漏洞影响环境、软件的类型；类型判断包括对目标的类别、名称和版本等方面进行判断，其中类别分为操作***、应用软件等；

步骤2.2：配置漏洞样本运行参数；

多数漏洞样本运行时的参数默认为空，而有些漏洞需要配置相应参数；此步骤针对需要配置运行参数的漏洞样本进行操作；

步骤2.3：类型判断和参数配置后的漏洞样本即为漏洞元样本，将元样本发送给虚拟处理器(2)进行下一步操作。

6.根据权利要求3所述的方法，其特征在于，步骤3所述结果分析还包括以下步骤：

步骤3.1：首先判断样本类型，根据样本为操作***类型或应用软件类型的不同由不同的虚拟机(22)进行处理；

步骤3.2：针对操作***的漏洞样本，虚拟处理器(2)虚拟各类操作***作为测试环境对其进行测试；针对应用软件，按照软件分类进行虚拟环境构建，分为办公类软件、浏览器类软件、聊天工具类软件、媒体工具类软件、下载工具类软件；同类的软件安装在同一个虚拟机中；

步骤3.3：由虚拟机(22)中的虚拟机代理模块(23)对漏洞样本进行分析；

首先收集当前***中安装的应用软件信息，然后根据获取的测试环境中的软件列表信息，判断漏洞样本所需要的测试目标软件及其相关版本号是否存在于测试环境中；

步骤3.4：漏洞样本加载到虚拟机(22)中运行，同时监视漏洞样本的运行情况，分析样本测试结果；

在样本运行过程中检测样本检测阶段是否结束，如果结束则退出，否则启动调试进程，以调试方式启动目标程序，再由目标程序加载漏洞样本；样本在目标程序中的运行全过程都受到调试进程的监视，监视是否有异常发生；在调试进程监视目标进程加载样本漏洞的运行情况时，如果捕获到异常信息，对异常信息进行分析；

步骤3.5：通过漏洞样本的加载运行及分析得到漏洞的运行相关信息，包括漏洞承载平台、危害目标和触发条件；将漏洞样本及上述信息存入攻击库(4)中。

7.根据权利要求3所述的方法，其特征在于，步骤4所述基于攻击库(4)对漏洞进行验证后，对验证结果进行分析，判断攻击库(4)中的漏洞验证方法是否能够支持待验证漏洞；如果成功触发漏洞并返回结果，则将待验证漏洞样本加入攻击库(4)中；如果验证过程发生错误或检测到异常，由验证人员对漏洞及验证脚本进行分析，修改脚本内容或重新编写脚本，完善攻击库(4)。