Abstrakt. Kontroll-flödesattacker, som vanligtvis uppnås genom att utnyttja en buffert-överflödessårbarhet, har varit ett allvarligt hot mot systemsäkerheten i över femton år. Forskare har svarat på hotet med olika begränsning tekniker, men trots detta, nya bedrifter som framgångsrikt kringgår dessa tekniker fortfarande visas på regelbunden basis. I detta dokument föreslår vi ROPocop, ett nytt tillvägagångssätt för att upptäcka och förhindra genomförandet av injicerad kod och för att minska kodåteranvändning attacker såsom returorienterad programmering (RoP). ROPocop använder dynamisk binär instrumentering, vilket varken kräver åtkomst till källkod eller felsökningssymboler eller ändringar i operativsystemet. Det lindrar attacker genom att både övervaka programräknaren vid potentiellt farliga punkter och genom att upptäcka misstänkta programflöden. Vi har implementerat ROPocop för Windows x86 med PIN, en dynamisk programinstrumentering ram från Intel. Riktmärken som använder SPEC CPU2006-sviten visar en genomsnittlig overhead på 2,4x, vilket är jämförbart med liknande metoder, vilket ger svagare garantier. Real-world applikationer visar bara en initialt märkbar inmatningsfördröjning och ingen stamning. I vår utvärdering upptäckte vårt verktyg framgångsrikt alla 11 av de senaste verkliga kodåteranvända bedrifter, utan falska alarm. Därför, trots overhead, är det en livskraftig, tillfällig lösning för att säkra kritiska system mot utnyttjanden om en leverantör patch ännu inte är tillgänglig.
ROPocop REF är en dynamisk binär kod instrumentering ram mot kodinsprutning och kod återanvändning attacker.
ROPocop - Dynamic Mitigation of Code-Reuse Attacks
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}