路径条件驱动的混淆恶意代码检测(3)

　　4总结与展望

　　本文提出了一种路径条件驱动的混淆恶意代码检测方法，该方法能够有效地通过路径条件遍历，检测出经过混淆后被隐藏的恶意行为特征.经过分析和实验，该方法有如下特点：一是能够通过路径条件的分析与约束求解，驱动恶意代码执行更多的隐藏路径，从而提高路径覆盖率，减少漏报；二是检测系统I/O函数，自动加载外部资源，实现了更全面地定位、检测恶意代码；最终准确地挖掘系统调用序列作为恶意特征，形成特征库供恶意代码检测使用.原型系统的实验证明了该方法的有效性.相较于原有的恶意代码检测方法，本文的方法能够更准确地识别恶意代码特征.

　　参考文献

　　[1]IDIKA N， MATHUR A P. A survey of malware detection techniques[R]. Purdue University， 2007： 48.

　　[2]王蕊，冯登国，杨轶，等.基于语义的恶意代码行为特征提取及检测方法[J].软件学报，2012，23（2）：378-393.

　　[3]刘巍伟，石勇，郭煜，等.一种基于综合行为特征的恶意代码识别方法[J].电子学报，2009，37（4）：696-700.

　　[4]MASRI W， PODGURSKI A. Using dynamic information flow analysis to detect attacks against applications[C]//ACM SIGSOFT Software Engineering Notes. 2005， 30： 1-7.

　　[5]SEKAR R， BENDRE M， DHURJATI D， et al. A fast automatonbased method for detecting anomalous program behaviors[C]//Security and Privacy， 2001. S&P 2001. Proceedings. 2001 IEEE Symposium on. 2001： 144-155.

　　[6]LINN C， DEBRAY S. Obfuscation of executable code to improve resistance to static disassembly[C]//Proceedings of the 10th ACM conference on Computer and communications security. New York， USA： ACM， 2003： 290-299.

　　[7]MOSER A， KRUEGEL C， KIRDA E. Limits of static analysis for malware detection[C]//IEEE.2007： 421-430.

　　[8]SONG D， BRUMLEY D， YIN H， et al. BitBlaze： A new approach to computer security via binary analysis[J]. Information Systems Security， 2008： 1-25.

　　[9]武炳正，武延军，贺也平.基于虚拟机架构的自修改代码监测技术[J].计算机工程与应用，2011，47（11）：71-74.

　　[10]FRATANTONIO Y， KRUEGEL C， VIGNA G. Shellzer： a tool for the dynamic analysis of malicious shellcode[C]//Recent Advances in Intrusion Detection. 2011： 61-80.

　　[11]薛永岭，黄皓，张博.基于函数签名的控制流监控方法[J].计算机工程，2009，35（9）：133-135.

　　[12]马金鑫，忽朝俭，李舟军.基于控制流精化的反汇编方法[J].清华大学学报：自然科学版，2011，51（10）：1345-1350.

　　[13]赵玉洁，汤战勇，王妮，等.代码混淆算法有效性评估[J].软件学报，2012，23（3）：700-711.

　　[14]POLYCHRONAKIS M， ANAGNOSTAKIS K G， MARKATOS E P. Emulationbased detection of nonselfcontained polymorphic shellcode[C]//Proceedings of the 10th International Conference on Recent Advances in Intrusion Detection. Berlin， Heidelberg： SpringerVerlag， 2007： 87-106.

　　[15]PALEARI R， MARTIGNONI L， ROGLIA G F， et al. A fistful of redpills： How to automatically generate procedures to detect CPU emulators[C]//Proceedings of the USENIX Workshop on Offensive Technologies （WOOT）. 2009：41-86.

　　[16]濮方琍，卢炎生.基于并行Java程序动态切片的Concolic测试[J].华中科技大学学报：自然科学版，2009，37（10）：21-24.

　　[17]VX Heavens[EB/OL]. http：//vx.netlux.org/index.html.