SIGDROP：基于硬件性能计数器的签名式 ROP 检测
密码学与安全
2016-09-12 v1
摘要
返回导向编程（ROP）是一种用于破坏系统的软件利用技术。通过链接来自现有代码片段的短指令序列，ROP 可以绕过静态代码完整性检查方法和不可执行页保护。现有的防御手段要么需要访问源代码或二进制文件、定制的编译器或硬件修改，要么存在较高的性能和存储开销。在这项工作中，我们提出了 SIGDROP，这是一种低成本的 ROP 检测方法，它利用了 ROP 攻击固有的低级特性。具体而言，我们观察到在程序执行期间发生 ROP 攻击时，某些硬件事件会呈现特殊模式。这种基于硬件事件的模式构成了在运行时标记 ROP 攻击的签名。SIGDROP 利用商品处理器中已有的硬件性能计数器来高效地捕获和提取这些签名。我们的评估表明，SIGDROP 能够以可接受的性能开销和可忽略的存储开销有效地检测 ROP 攻击。
引用
@article{arxiv.1609.02667,
title = {SIGDROP: Signature-based ROP Detection using Hardware Performance Counters},
author = {Xueyang Wang and Jerry Backer},
journal= {arXiv preprint arXiv:1609.02667},
year = {2016}
}