恶意代码的符号执行树分析方法  

A malware analysis method based on symbolic execution tree

作　　者：钟金鑫[1] 魏更宇[1] 安靖[1] 杨义先[1] 

机构地区：[1]北京邮电大学信息安全中心,北京100876

出　　处：《重庆大学学报（自然科学版）》2012年第2期65-70,共6页Journal of Chongqing University

基　　金：国家自然科学基金资助项目(61070208)

摘　　要：在恶意代码分析中,动态监测虚拟环境中的恶意代码行为是一种常用的方法。但是,由于可执行的路径分支众多,极易产生路径爆炸问题,造成某些可执行路径无法被覆盖,严重影响分析的全面性。为了解决恶意代码分析中路径爆炸问题,提出了一种基于符号执行树的恶意代码分析方法。通过构造符号执行树,引入汇聚节点,对恶意代码的执行路径进行约束求解,减少分析路径,从而缓解路径爆炸的影响,提高分析的全面性。恶意代码样本分析的实验表明,该方法能够有效地提升分析效率,同时拥有较小的时间复杂度。In the malware analysis, it is a common method to monitor malware dynamically in a virtual environment. However, with so many branches of executable pathes, path explosion problem will probably occur, leaving some executable pathes uncovered, and hence harming the comprehensiveness of analysis. To solve this problem, we propose a rnalware analysis method based on symbolic execution tree. This method introduces sinknode and solves the execution of malicious code path by constructing the symbolic execution tree, so improves the analysis of comprehensive. Experiments to analyze the samples of malware show that the method can enhance the efficiency of the analysis with lower time complexity.

关 键 词：符号执行 路径爆炸 恶意代码分析 汇聚节点 二进制程序分析 

分 类 号：TP393[自动化与计算机技术—计算机应用技术]