基于栈的恶意程序隐式系统调用的检测方法  

A Stack-related Method for Detecting Obfuscated System Calls of Malware

作　　者：李毅超[1] 何子昂[1] 曹跃[1] 

机构地区：[1]电子科技大学计算机科学与工程学院,成都610054

出　　处：《计算机科学》2008年第2期93-95,共3页Computer Science

基　　金：华为基金项目"基于安全行为模型的智能防御"

摘　　要：提出了一种检测恶意程序中隐式系统调用的方法。该方法使用地址栈和地址栈图来检测恶意程序中隐式的系统调用信息,其中,地址栈将每个栈的元素和栈操作的指令相结合,而地址栈图抽象地表示可执行体并且检测恶意的系统调用。通过实验表明,这是一种有效的方法。This paper presents a method to detect obfuscated system calls of malware. The idea is to use address stack and address stack graph to detect obfuscated system calls of malware. An address stack is used to associate each element in the stack to the instruction that pushes the element. An address stack graph may be created by abstract interpretation of the binary executable and may be used to detect obfuscated calls. The experiment proves the method is effective.

关 键 词：恶意程序 隐式调用 地址栈 地址栈图 

分 类 号：TP316[自动化与计算机技术—计算机软件与理论] TP309.5[自动化与计算机技术—计算机科学与技术]