[发明专利]基于中间指令动态插装的Heapspray检测方法

摘要

本发明公开了一种基于中间指令动态插装的Heapspray检测方法，属于计算机安全技术领域。本方法为：1)将解释执行网页动态脚本的虚拟机置于单步运行状态；2)判断当前要执行的中间指令是否为赋值类中间指令；3)如果是，则判断该指令参数中的右值参数类型是否为字符串类型，如果是且其值小于设定阈值P，则检查是否存在shellcode；如果右值参数值大于阈值P，则计算其信息熵值；4)取下一中间指令，重复步骤2)和3)，如果一赋值类中间指令的右值参数存在shellcode，另一赋值类中间指令的右值参数信息熵值小于设定阈值Q，则判定该脚本存在Heapspray行为。本发明可减小系统开销、提高检测的准确率。

主权项

一种基于中间指令动态插装的Heapspray检测方法，其步骤为：1)将用于解释执行网页动态脚本的虚拟机置于单步运行状态；2)判断当前要执行的中间指令是否为赋值类中间指令；所述赋值类中间指令为由原脚本语言中的赋值语句翻译之后的中间指令；3)如果否则执行该中间指令，如果是赋值类中间指令，则判断该指令参数中的右值参数类型是否为字符串类型，如果否则执行该指令，如果是则对该赋值类中间指令进行检查：如果右值参数值小于设定阈值P，则检查右值参数值中是否存在shellcode；如果右值参数值大于阈值P，则计算该右值参数值的信息熵值H；4)取出下一条要执行的中间指令，重复上述步骤2)和3)，如果检查出一赋值类中间指令的指令参数中的右值参数存在shellcode，另一赋值类中间指令的指令参数中的右值参数信息熵值小于设定阈值Q，则判定该脚本存在Heapspray行为。