1、會計學1新型代碼復用攻擊及防御介紹新型代碼復用攻擊及防御介紹第1頁/共115頁第2頁/共115頁第3頁/共115頁第4頁/共115頁第5頁/共115頁第6頁/共115頁第7頁/共115頁第8頁/共115頁第9頁/共115頁第10頁/共115頁第11頁/共115頁第12頁/共115頁第13頁/共115頁第14頁/共115頁第15頁/共115頁第16頁/共115頁配件！配件！配件！配件！配件！配件！配件！配件！配件！配件！配件出現頻率太多，配件出現頻率太多，發生攻擊！終止進程發生攻擊！終止進程監測監測窗口窗口.ins;ins;ret;ins;ret;ins;ins;ins;ret;ins;ret;

2、ins;ins;ret;.第17頁/共115頁第18頁/共115頁第19頁/共115頁第20頁/共115頁第21頁/共115頁第22頁/共115頁第23頁/共115頁第24頁/共115頁第25頁/共115頁第26頁/共115頁第27頁/共115頁第28頁/共115頁第29頁/共115頁第30頁/共115頁第31頁/共115頁第32頁/共115頁第33頁/共115頁第34頁/共115頁第35頁/共115頁第36頁/共115頁第37頁/共115頁第38頁/共115頁第39頁/共115頁第40頁/共115頁第41頁/共115頁.ins;ins;ret;ins;ret;ins;ret;ins;ins;

3、ins;ins;ins;ins;ins;ins;ret;ins;ret;ins;ins;ret;.配件！配件！配件！配件！配件出現的頻率配件出現的頻率不夠高不夠高，沒有發，沒有發生生攻擊。攻擊。非非配配件件監測監測窗口窗口攻擊者插入的沒有實攻擊者插入的沒有實際作用的長配件，其際作用的長配件，其長度超過了被認作配長度超過了被認作配件的要求。稀釋了配件的要求。稀釋了配件出現的頻率，逃過件出現的頻率，逃過監測監測。配件！配件！配件！配件！配件！配件！第42頁/共115頁第43頁/共115頁第44頁/共115頁第45頁/共115頁第46頁/共115頁第47頁/共115頁第48頁/共115頁第49頁/共

4、115頁第50頁/共115頁第51頁/共115頁第52頁/共115頁第53頁/共115頁第54頁/共115頁第55頁/共115頁第56頁/共115頁第57頁/共115頁第58頁/共115頁第59頁/共115頁第60頁/共115頁第61頁/共115頁第62頁/共115頁第63頁/共115頁第64頁/共115頁第65頁/共115頁第66頁/共115頁第67頁/共115頁第68頁/共115頁第69頁/共115頁第70頁/共115頁第71頁/共115頁第72頁/共115頁第73頁/共115頁第74頁/共115頁第75頁/共115頁第76頁/共115頁第77頁/共115頁第78頁/共115頁第79頁/共

5、115頁第80頁/共115頁頁面權限頁面權限權限說明權限說明Prot值值PAGE_NONE不可訪問不可訪問P000、S000PAGE_SHARED不可執行的共享頁面不可執行的共享頁面S010、S011PAGE_SHARED_EXEC可執行的共享頁面可執行的共享頁面S110、S111PAGE_COPY_NOEXEC不可執行的可拷貝頁面不可執行的可拷貝頁面PAGE_COPY_EXEC可執行的可拷貝頁面可執行的可拷貝頁面P110、P111PAGE_COPY等同于等同于PAGE_COPY_NOEXECP010、P011PAGE_READONLY只讀頁面只讀頁面P001、S001PAGE_READONL

6、Y_EXEC 可執行的只讀頁面可執行的只讀頁面P100、P101、S100、S101第81頁/共115頁第82頁/共115頁NX (No execute)SOFTW3SOFTW2SOTFW1GLOBAL (Global TLB entry)PAT (on 4KB pages)PSE (4MB or 2MB page)DIRTY (was written to)ACCESSED (was accessed)PCD (page cache disabled)PWT (page write through)USER (userspace addreesable)R/W (writeable)PRES

7、ENT (is present)第83頁/共115頁第84頁/共115頁第85頁/共115頁頁面權限頁面權限頁表項標志位組合頁表項標志位組合對應的屬性對應的屬性PAGE_NONEGLOBAL、ACCESSEDP000、S000PAGE_SHAREDPRESENT、RW、USER、ACCESSED、NXS010、S011PAGE_SHARED_EXECPRESENT、RW、USER、ACCESSEDP110、S111PAGE_COPY_NOEXECP R E S E N T 、 U S E R 、ACCESSED、NXPAGE_COPY_EXECP R E S E N T 、 U S E R 、

8、ACCESSEDP110、P111PAGE_COPY等同于等同于PAGE_COPY_NOEXECP010、P011PAGE_READONLYP R E S E N T 、 U S E R 、ACCESSED、NXP001、S001PAGE_READONLY_EXECP R E S E N T 、 U S E R 、ACCESSEDP100、P101、S100、S101第86頁/共115頁頁面權限頁面權限頁表項標志位組合頁表項標志位組合對應的屬性對應的屬性PAGE_NONEGLOBAL、ACCESSEDP000、S000PAGE_READONLYP R E S E N T 、 U S E R 、ACCESSED、NXP001、S001第87頁/共115頁頁面權限頁面權限頁表項標志位組合頁表項標志位組合對應的屬性對應的屬性PAGE_NONEGLOBAL、ACCESSEDP000、S000PAGE_READONLYP R E S E N T 、 U S E R 、ACCESSED、NXP001、S001第88頁/共115頁第89頁/共115頁第90頁/共115頁第91頁/共115頁第92頁/共115頁第93頁/共115頁第94頁/共115頁第95頁/共115頁第96頁/共115頁第97頁/共115頁第98頁/共115頁第99頁/共115頁第100頁/共115頁第101頁/共115頁第