文档介绍：华中科技大学
硕士学位论文
嵌入式系统抗缓冲区溢出攻击的硬件防御机制研究
姓名:万毓西
申请学位级别:硕士
专业:微电子学与固体电子学
指导教师:刘政林
2011-01-17
华中科技大学硕士学位论文
摘要
随着嵌入式系统的广泛应用,嵌入式系统的安全越来越重要,缓冲区溢出作为最
常见的软件安全漏洞对嵌入式系统安全构成严重威胁。为了改善嵌入式系统对缓冲区
溢出攻击的防御能力,本文在嵌入式处理器的体系结构层次提出一种基于细粒度指令
流监控的硬件防御机制。
本文分析比较了已有侦测技术,通过对缓冲区溢出攻击进行指令级的行为研究,
确定在处理器体系结构中构建一种基于细粒度指令流监控的硬件防御机制。监控单元
在 cache 与流水线的数据通路中截取指令流,通过虚拟执行单元虚拟执行指令,在指
令流中提取缓冲区边界地址等监控信息。依据这些信息,对攻击行为执行缓冲区边界
检查,栈边界检查,返回地址保护和跳转指令检查,在缓冲区溢出攻击流程的关键节
点拦截攻击,增强系统运行过程中的安全性。对设计进行功能仿真和 FPGA 验证,监
控单元可以有效地防御缓冲区溢出攻击。利用 ISE 工具评估该设计,监控单元带来了
15%的硬件开销和 %的性能损耗。
本文的主要特色在于通过建立虚拟执行单元来获取监控信息,不需要修改程序,
不破坏流水线完整性,而且虚拟执行单元与流水线同步处理指令,隐藏监控处理时间,
对系统的性能影响小,本文的防护机制可以应用于其他嵌入式系统设计中动态防御缓
冲区溢出攻击。

关键词:嵌入式系统,缓冲区溢出攻击,硬件防御,虚拟执行单元

I
华中科技大学硕士学位论文
Abstract
With a wide range of embedded systems applications,the security of embedded
systems e more and more important. As the mon software vulnerabilities,
buffer overflow poses a serious threat to embedded systems security. To improve the ability
of defense buffer overflow attacks,building a hardware defense mechanism based on fine
granularity instruction flow monitor in the embedded processor architecture.
paring the existing detection technology and research the instruction-level
behavior of buffer overflow attacks,building a hardware defense mechanism based on fine
granularity instruction flow monitor in the embedded processor architecture. Monitoring
unit interception the instruction stream in the data path of the cache and the pipeline,
through virtual implement the instruction,extracting monitoring information something like
buffer boundary address in instruction stream. Based on these information,make the attack
code accepts the buffer boundary check,stack boundary check,return address check and
jump instruction check,intercept attacks on the key nodes of buffer overflow attacks,
enhance system dynamic security. From the simulation and FPGA verification,monitoring
unit can effectively defense buffer o