卢立浩 厉洪瑞 王颢翔

中文摘要：缓冲区溢出漏洞对计算机操作系统会产生严重的安全影响，能否准确检测并查杀此类安全漏洞是件重要的事。本文开展了一项溢出漏洞攻击流量分析实验，分析结果中给出了缓冲区溢出漏洞的特征，并提出了一种有效面向二进制溢出漏洞恶意攻击检测及防御方法，进一步给出对其普适化的安全响应策略。

关键词：二进制安全漏洞;流量分析;漏洞防御;

1. 引言

近年来，二进制漏洞的安全防御策略的到了广泛关注[1]。有效安全策略的提出很大程度上能够缓解因二进制漏洞所产生的安全威胁。本文开展了一项缓冲区溢出漏洞的攻击的流量分析实验，二进制漏洞攻击方式的实质是两台设备之间进行数据通信，这一过程通常使用应用层中的HTTPS、TCP等协议，采用取证工具wireshark[2]抓取数据包进行恶意流量特征分析。分析的结果中基于实验给出的漏洞的特征提出了缓冲区溢出攻击检测方法，进一步给出了普适化的恶意流量检测方法，这些方法能够有效查杀Linux平台下的缓冲区漏洞。

2. 恶意流量分析检测及防御方法

2.1缓冲区溢出攻击特征检测

测试实验设计为：靶机开启wireshark抓包功能捕获流经网卡的数据包。当攻击系统取得靶机控制权时，对数据包过滤处理。攻击系统与靶机之间通过应用层的协议与10001端口建立连接，构造如下表达式过滤数据包：tcp.port == 10001 || udp.port == 10001，过滤出如图1所示TCP协议的数据包，初步分析表明攻击系统与靶机系统完成了TCP三次握手，对这段数据包追踪流进一步发现两个系统之间的数据通信过程。……