Windows操作环境下基于插桩工具的漏洞检测方法

摘要

本发明公开了一种Windows操作环境下基于插桩工具的漏洞检测方法。本发明为：当检测到目标进程执行函数调用指令时，保存下一指令地址，以及函数的返回地址；若目标进程的跳转目的地址对应的指令不是该函数的起始指令，则判定存在ROP漏洞；当检测到目标进程执行函数返回指令时，检测当前线程栈中的返回地址是否被存储过，若是，则判定存在缓冲区溢出漏洞；判断函数返回指令地址与所存储是否相同，若否，则保存该函数返回指令的地址，当检测到其被执行多次时，则判定目标进程存在ROP漏洞；基于函数调用接口打开预设被调试进程，再判断所述预设被调试进程能否打开目标进程，若否，则存在本地提权漏洞。本发明能够并发地对多个样本进行自动识别和检测。

主权项

Windows操作环境下基于插桩工具的漏洞检测方法，其特征在于，包括下列步骤：当检测到目标进程执行函数调用指令时，将下一指令的地址存入第一预设存储单元中，并且将当前被调用函数的返回地址存入第二预设存储单元中；检查目标进程的跳转目的地址，若所述目的地址对应的指令不是被调用函数的起始指令，则判定目标进程存在ROP漏洞；当检测到目标进程执行函数返回指令时，检测当前线程栈中的返回地址是否在第一预设存储单元中存在，若是，则判定目标进程存在缓冲区溢出漏洞；判断所述函数返回指令的地址与第二预设存储单元中的当前被调用函数的返回地址是否相同，若否，则保存所述函数返回指令的地址，当检测到该地址的函数返回指令被执行K次时，则判定目标进程存在ROP漏洞，其中K≥2；基于函数调用接口打开预设被调试进程，再判断所述预设被调试进程能否打开目标进程，若否，则目标进程存在本地提权漏洞。