[发明专利]一种挖掘Windows内核API漏洞的模糊测试方法

说明书

本发明涉及一种挖掘Windows内核API漏洞的模糊测试方法，对已知样本进行突变，突变样本按队列执行测试并获取执行路径位图，测试进程崩溃则针对新崩溃样本保存当前突变样本，测试进程未崩溃则根据执行路径位图判断突变样本价值，若有则将突变样本加入有效样本队列，否则丢弃样本，直至队列处理完毕，取有效样本队列中的突变样本再次突变并重复模糊测试，扩大测试覆盖面。本发明在调用API前满足前置条件，使用路径反馈约束突变样本，有效提高模糊测试覆盖面，可高效率进行模糊测试，提高发现Windows内核提权漏洞的可能性，可以针对Windows下所有系统API调用进行模糊测试，保证获取样本执行路径的速度。

技术领域

本发明涉及防止未授权行为的保护计算机、其部件、程序或数据的安全装置的技术领域，特别涉及一种样本覆盖面大、路径及执行结果反馈及时的挖掘Windows内核API漏洞的模糊测试方法。

背景技术

由于微软不断的更新升级，Windows操作系统不但更加易用，也慢慢成为人们最喜爱的操作系统，当然，作为主流商用操作系统，其安全性一直备受关注。

内核作为Windows系统的重要组件，其存在的提权漏洞一直被用来突破Windows系统上的安全边界。

对于Windows内核模糊测试工具来说，存在两大技术难点：

（1）生成样本文件时如何满足API调用前置条件；对于模糊测试工具来说，能否生成有效的样本至关重要，无法满足API调用前置条件意味着无论怎样突变此函数的参数，都将导致内核路径不会发生任何变化，进而直接导致样本的有效性降低，无法深入探测程序内部漏洞；

（2）如何高效获取Windows内核执行路径；由于Windows为闭源系统，无法如Linux等开源系统一样进行源码插桩等方式获取执行路径，也无法使用Dr. Memory等二进制代码插桩工具来获取执行路径，由于无法获取有效的反馈路径，最终将导致模糊测试工具无法正确评估样本的价值，发现漏洞的概率降低。

现有技术中，对于Windows内核模糊测试工具的相关网络安全技术缺口较大，例如，syzkaller内核模糊测试工具主要基于代码插桩技术获取路径反馈，但无法高效获取Windows内核代码执行路径，KAFL等工具则主要侧重于对内核执行代码路径的获取，而其样本突变模块无法针对复杂的样本进行突变；现有的相关论文亦只是进行简单讨论，无法在保证高效率的获取路径反馈的同时生成有效的API模糊测试样本。

发明内容

本发明解决了现有技术中，无法同时兼顾生成样本文件时满足API调用前置条件和高效获取Windows内核执行路径，而导致的无法同时解决样本的有效性降低、无法深入探测程序内部漏洞，及模糊测试工具无法正确评估样本的价值、发现漏洞的概率降低的问题，提供了一种优化的挖掘Windows内核API漏洞的模糊测试方法。

本发明所采用的技术方案是，一种挖掘Windows内核API漏洞的模糊测试方法，所述方法包括以下步骤：

步骤1：获得1个或多个已知样本，对所述已知样本进行突变操作；

步骤2：获得突变样本队列，所述突变样本队列中有N个突变样本，令n=1；

步骤3：对第n个突变样本执行测试，获取突变样本执行路径位图；

步骤4：若测试进程崩溃，则基于对应的执行路径位图判断是否为新崩溃样本，若是，则保存当前突变样本，否则，丢弃样本；n=n+1，若n≤N，返回步骤3，否则，进行步骤6；

若测试进程未崩溃，直接进行下一步；

步骤5：根据突变样本执行路径位图判断突变样本是否有价值，若有，则将突变样本加入有效样本队列，否则丢弃样本；n=n+1，若n≤N，返回步骤3，否则，进行步骤6；