[发明专利]解码方法及解码装置

说明书

本申请提供了一种解码方法及解码装置。该方法包括：从处理器追踪数据中确定多个包流边界包，该处理器追踪数据包括该多个包流边界包和多个数据包；根据该多个包流边界包确定M个数据包组，该M个数据包组包括该多个数据包，一个数据包组包括的数据包位于两个不同包流边界包之间，且不同数据包组包括的数据包不同，其中，M≥2，且M为整数；采用N个解码线程对该M个数据包组进行解码，该N个解码线程中每个解码线程对该M个数据包组中的至少一个数据包组进行解码，且该N个解码线程中不同的解码线程对不同的数据包组进行解码，其中，N≥2，且N为整数。基于本申请，可以提高处理器追踪数据的解码效率。

技术领域

本申请涉及通信领域，并且更具体地，涉及一种解码方法及解码装置。

背景技术

应对代码攻击的一个主要思路是控制流完整性(control flow integrity，CFI)。应用CFI的两个前提条件是：1)能够获取准确的执行指令流；2)能够快速获取执行指令流。

为了应用CFI，英特尔(Intel)处理器追踪(processor trace，PT)硬件应运而生。Intel PT硬件的高效处理器追踪机制，可以在不高于5％的额外性能开销下，准确记录完全的处理器执行指令流。从而使得细粒度(全路径的完整检测)、难以绕过(无漏报)且可靠(无误报)的针对代码复用攻击的漏洞利用离线检测称为可能。离线检测通过记录完整执行流，然后通过重放执行过程进行事后检测。

但是Intel PT硬件只解决了快速记录的挑战，对高度压缩的PT数据进行解码的开销极大，如何大大降低解码的开销仍是一项巨大的挑战。

发明内容

本申请提供一种解码方法，可以提高解码的效率。

第一方面，提供了一种解码方法，该方法包括：从处理器追踪数据中确定多个包流边界包，该处理器追踪数据包括该多个包流边界包和多个数据包；根据该多个包流边界包确定M个数据包组，该M个数据包组包括该多个数据包，一个数据包组包括的数据包位于两个不同包流边界包之间，且不同数据包组包括的数据包不同，其中，M≥2，且M为整数；采用N个解码线程对该M个数据包组进行解码，该N个解码线程中每个解码线程对该M个数据包组中的至少一个数据包组进行解码，且该N个解码线程中不同的解码线程对不同的数据包组进行解码，其中，N≥2，且N为整数。

基于上述技术方案，根据包流边界包将处理器追踪数据分成多个数据包组，使得可以采用多个解码线程对数据包组进行解码，从而可以提高处理器追踪数据的解码速度。此外，由于包流边界包可以用于标识固定长度划分的数据包边界，因此根据包流边界包对处理器追踪数据进行分组的方式更容易实现，对处理器追踪数据分组的处理效率更高。

示例性地，一个数据包组包括的数据包位于相邻的两个不同包流边界包之间。

结合第一方面，在第一方面的某些实现方式中，该方法还包括：在目标程序通过渲染文件以获得该处理器追踪数据的过程中，收集辅助该处理器追踪数据解码的额外信息，该额外信息包括该目标程序的进程加载的以下一项或多项信息：动态库元信息、被修改的动态库被修改内存部分、具有执行权限的数据内存；该采用N个解码线程对该M个数据包组进行解码，包括：结合该额外信息，采用该N个解码线程对该M个数据包组进行解码。

其中，动态库元信息包括未修改动态库元信息和被修改动态库元信息。

基于上述技术方案，在获得处理器追踪数据的过程中，收集用于辅助解码的额外信息，并结合该额外信息对处理器追踪数据进行解码，从而可以保证对处理器追踪数据正确解码。

具体地，结合该额外信息，采用该N个解码线程对该M个数据包组进行解码，包括：结合该额外信息和目标程序的库二进制文件，确定目标程序加载过程对应的二进制文件；根据该二进制文件，采用该N个解码线程对该M个数据包组进行解码。