基于动态模拟的多态Shellcode检测系统  

Polymorphic Shellcode Detection System Based on Dynamic Emulation

作　　者：王兰佳[1] 段海新[2] 李星[1] 

机构地区：[1]清华大学电子工程系,北京100084 [2]清华大学信息网络工程研究中心,北京100084

出　　处：《计算机工程》2008年第13期7-9,共3页Computer Engineering

基　　金：国家“973”计划基金资助项目(2003CB314805)

摘　　要：通过分析多态Shellcode的行为特征,提出基于动态模拟的判决准则。以此准则为核心,针对现有方法的性能和应用性较差的问题,设计并实现了一个基于动态模拟的多态Shellcode检测系统,其模块采用多种优化技术以提高系统性能。使用3.3GB实际网络数据和11000个多态Shellcode样本对原型系统进行实验,其虚警和漏警率均为0,提高了系统的吞吐量。Based on the analysis of the characteristics of polymorphic Shellcode＇s behavior, an dynamic emulation based detection criterion is proposed. Using the criterion, this paper designs and implements a dynamic emulation based polymorphic Shellcode detection system, which is highly optimized in each module. With 3.3 GB real network data and 11 000 polymorphic Sbellcode samples, the experiment on prototype presents zero false positive and false negative, and it improves the throughput of system.

关 键 词：多态Shellcode 动态模拟 入侵检测 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]