基于沙盒仿真的可执行程序恶意代码检测工具的研究与实现

论文摘要

随着计算机的普及,网络在人们的生活中发挥着越来越重要的作用,但恶意代码和网络攻击也日益频繁,造成的危害也越来越大,对恶意代码的研究和分析工作就越来越重要。面对恶意代码的复杂性和多样性,传统的基于特征码检测的静态方法难以检测出未知的恶意代码,而沙盒技术可以对可执行程序进行动态分析与检测,在一定程度上弥补了静态方法的不足。在对基于传统沙盒的分析方法深入研究的基础上,本文提出了一种基于沙盒仿真的恶意代码动态分析方法。该方法把仿真技术和沙盒技术结合起来,保证了检测的完整性和系统的无破坏性;另外,该方法还根据恶意代码的动态行为及其对计算机系统的影响,对其恶意性进行了分级,并能够通过动态分析自动报告恶意代码的恶意等级,使得用户可以一目了然地看出被测程序的恶意程度。基于该方法,本文设计并实现了一款针对可执行程序的恶意代码检测工具——MCDT_Sandbox。与以前的工具相比,本文实现的工具在检测方面有以下四个优点:第一、能够对未知的恶意代码进行检测;第二、有针对性的截获API,在一定程度上缩小了检测范围,提高了检测效率;第三、使用沙盒仿真技术,保证了检测的完整性和系统的无破坏性;第四、能够自动分析并报告被测程序的恶意等级,使得用户更直接的知道其恶意程度。另外,在系统的设计上采用了面向组件的设计思想,使得各个组件之间的耦合度很低,提高了程序的可读性和可扩展性。最后,作者利用该检测工具对“黑炸弹”和“熊猫烧香”等典型的恶意代码程序进行了检测,实验结果证明本文提出的检测方法是可行的,实现的工具是有效的。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 课题研究背景与意义
• 1.1.1 恶意代码及其危害
• 1.1.2 恶意代码的历史与传播趋势
• 1.1.3 恶意代码及其检测技术的研究意义
• 1.2 研究现状
• 1.3 本文工作
• 1.4 论文结构
• 第二章 课题相关技术分析与介绍
• 2.1 恶意代码分类及其攻击方式研究
• 2.1.1 计算机病毒
• 2.1.2 特洛伊木马
• 2.1.3 蠕虫
• 2.1.4 逻辑炸弹
• 2.1.5 病菌
• 2.2 恶意代码分析技术研究
• 2.2.1 静态分析方法
• 2.2.2 动态分析方法
• 2.2.3 两种分析方法优缺点分析
• 2.3 沙盒技术研究
• 2.3.1 沙盒概述
• 2.3.2 沙盒技术的实现方法分析
• 2.3.3 混合型沙盒的实现机制分析
• 2.3.4 Java 虚拟机
• 2.4 截获与远程注入技术研究
• 2.4.1 API Hook 技术研究
• 2.4.2 DLL 远程注入技术研究
• 2.4.3 Detours 技术研究
• 2.5 本章小结
• 第三章 基于沙盒仿真的动态分析技术
• 3.1 基于传统沙盒的分析方法
• 3.1.1 SpyProxy
• 3.1.2 CWSandbox
• 3.2 基于沙盒仿真的动态分析方法
• 3.2.1 基于沙盒仿真的动态分析方法的要点
• 3.2.2 沙盒权限分配策略
• 3.2.3 沙盒监控策略
• 3.2.4 沙盒仿真策略
• 3.2.5 恶意性分析与定级
• 3.2.6 与虚拟机方法的区别
• 3.3 基于沙盒仿真的动态分析方法和传统沙盒的比较
• Sandbox 与SpyProxy 比较'>3.3.1 MCDT_Sandbox 与SpyProxy 比较
• Sandbox 与CWSandbox 比较'>3.3.2 MCDT_Sandbox 与CWSandbox 比较
• 3.4 本章小结
• 第四章 基于沙盒仿真的恶意代码检测框架
• 4.1 系统设计要求
• 4.2 整体框架
• 4.2.1 提交文件管理器
• 4.2.2 沙盒检测器
• 4.2.3 报表管理器
• 4.2.4 邮件管理器
• 4.3 系统流程
• 4.4 总体设计方案
• 4.5 本章小结
• 第五章 系统详细设计与实现
• 5.1 基于沙盒仿真的检测器
• 5.1.1 利用API Hook 和远程注入技术实现监控器
• 5.1.2 基于沙盒权限的仿真器
• 5.1.3 动态跟踪分析器
• 5.1.4 沙盒检测器的界面说明
• 5.2 提交文件管理器
• 5.3 报表输出管理器
• 5.3.1 操作报表组件
• 5.3.2 结果输出组件
• 5.3.3 报表输出管理器的界面实现
• 5.4 邮件管理器
• 5.5 实现过程中遇到的问题与解决方案
• 5.6 本章小结
• 第六章 系统评测与分析
• 6.1 “黑炸弹”的测试与分析
• 6.1.1 “黑炸弹”简介
• 6.1.2 测试结果与分析
• 6.2 “熊猫烧香”的测试与分析
• 6.2.1 “熊猫烧香”简介
• 6.2.2 测试结果与分析
• 6.3 本章小结
• 第七章 结束语
• 7.1 论文工作总结
• 7.2 工具优点分析
• 7.3 工具实用性评估
• 7.4 下一步工作
• 致谢
• 参考文献
• 攻读硕士期间发表的论文