基于会话关联的软件网络通信行为分析技术

doi:10.11772/j.issn.1001-9081.2013.07.2046

计算机应用 ›› 2013, Vol. 33 ›› Issue (07): 2046-2050.DOI: 10.11772/j.issn.1001-9081.2013.07.2046

基于会话关联的软件网络通信行为分析技术

杜坤凭,康绯,舒辉,孙静

信息工程大学数学工程与先进计算国家重点实验室，郑州 450001

收稿日期:2013-01-22 修回日期:2013-02-27 出版日期:2013-07-01 发布日期:2013-07-06
通讯作者: 杜坤凭
作者简介:杜坤凭(1989-)，女，云南宣威人，硕士研究生，主要研究方向：软件逆向；康绯(1972-)，女，河南周口人，副教授，硕士，主要研究方向：协议安全；舒辉(1974-)，男，江苏盐城人，副教授，博士，主要研究方向：恶意代码；孙静(1985-)，女，江苏连云港人，硕士，主要研究方向：网络通信。

Behavior analysis technology of software network communication based on session association

DU Kunping,KANG Fei,SHU Hui,SUN Jing

State Key Laboratory of Mathematical Engineering and Advanced Computing, Information Engineering University, Zhengzhou Henan 450001, China

Received:2013-01-22 Revised:2013-02-27 Online:2013-07-06 Published:2013-07-01
Contact: DU Kunping

摘要/Abstract

摘要： 针对软件网络通信过程，提出一种基于会话关联的逆向分析方法，该方法首先对软件产生的网络通信流量和软件执行的应用程序编程接口(API)序列分别进行会话还原，再对还原的会话进行会话关联，为软件网络行为分析中的基于网络流量的分析方法和基于执行轨迹的分析方法建立了直接映射。设计并实现了相关的会话关联系统，并在此系统上进行了函数调用链的提取，使针对软件网络通信过程的分析更快捷。

关键词: 软件网络通信过程分析, 网络通信流量分析, 应用程序编程接口序列分析, 函数调用链

Abstract: According to the software network communication behavior, a reverse analytical method based on session association was proposed in this paper. The method restored the network traffic communication session and Application Programming Interface (API) sequence session produced by software firstly, then associated the sessions restored. Through the association, a direct mapping was built between two kinds of software network behavior analytical methods based on execution trace analysis and network traffic analysis respectively. The prototype system was designed and completed. Based on the system, the function call list was extracted. The reverse analytical method based on session association makes the reverse analysis of software network behaviors fast and convenient.

Key words: software network communication process analysis, network traffic analysis, Application Programming Interface (API) sequence analysis, function call list

中图分类号:

TP393

杜坤凭康绯舒辉孙静. 基于会话关联的软件网络通信行为分析技术[J]. 计算机应用, 2013, 33(07): 2046-2050.

DU Kunping KANG Fei SHU Hui SUN Jing. Behavior analysis technology of software network communication based on session association[J]. Journal of Computer Applications, 2013, 33(07): 2046-2050.

参考文献

［1］康凯. 二进制程序行为检测分析平台［D］.成都:电子科技大学,2010.

［2］应凌云,杨轶,冯登国,等.恶意软件网络协议的语法和行为语义分析方法［J］.软件学报,2011,22(7):1676-1689.

［3］韩纪宏.一类互联网软件的分析与控制［D］.上海:上海交通大学,2007.

［4］段冰.几类互联网通信软件的分析与控制［D］.上海:上海交通大学,2009.
［5］肖枫涛,王维,刘波,等.一种基于进程流量行为的蠕虫检测系统［J］.计算机工程与科学,2011,33(4):19-24.

［6］ZHANG B, YANG J H, WU J P, et al. Diagnosing traffic anomalies using a two-phase model ［J］. Journal of Computer Science and Technology, 2012, 27(2): 313-327.

［7］Microsoft MSDN Library. Windows Sockets2 (Windows) ［EB/OL］. ［2012-10-26］. http://msdn.microsoft.com/en-us/library/windows/desktop/ms740673(v=vs.85).aspx.

［8］Microsoft MSDN Library. About WinINet ［EB/OL］. ［2012-10-26］. http://msdn.microsoft.com/en-us/library/aa383630(VS.85).aspx.

［9］Microsoft MSDN Library. About WinHTTP ［EB/OL］. ［2012-10-26］. http://msdn.microsoft.com/en-us/library/aa383630(VS.85).aspx.

［10］〖CM(26*2〗NICHOLAS N. Dynamic binary analysis and instrumentation or building tools is easy ［D］. Cambridge: University of Cambridge, 2004.

［11］SION B. Pin-a dynamic binary instrumentation tool ［EB/OL］. ［2012-06-13］. http://www.pintool.org/.

［12］王乾,舒辉,李洋,等.基于DynamoRIO的恶意代码行为分析［J］.计算机工程,2011,37(18):139-141.

［13］刘豫,王明华,苏璞睿,等.基于动态污点分析的恶意代码通信协议逆向分析方法［J］.电子学报,2012,40(4):661-668.

［14］赵天福，周丹平，王康,等.一种基于网络行为分析的反弹式木马检测方法［C］// 第26 次全国计算机安全学术交流会议论文集.北京：中国学术期刊电子出版社,2011:80-83.

［15］段刚.加密与解密［M］.3版.北京:电子工业出版社,2010:121-126.

[1]	任智王路路杨勇雷宏江. 机会网络中基于定向数据传输的地理路由算法[J]. 计算机应用, 2014, 34(1): 4-7.
[2]	方娟郭媚杜文娟雷鼎. 面向低功耗的多核处理器Cache设计方法[J]. 计算机应用, 2013, 33(09): 2404-2409.
[3]	刘丹琦于炯英昌甜. 云计算环境下多有向无环图工作流的节能调度算法[J]. 计算机应用, 2013, 33(09): 2410-2415.
[4]	张军李辉. 投影仪-屏幕系统光场亮度分布的数学模型[J]. 计算机应用, 2013, 33(09): 2580-2583.
[5]	任秀丽王伟勇. 基于空间分辨率的无线传感网节点调度策略[J]. 计算机应用, 2013, 33(08): 2108-2111.
[6]	杜鹏白光伟沈航曹磊. 异构移动终端能量感知的P2P数据共享机制[J]. 计算机应用, 2013, 33(08): 2112-2116.
[7]	李世宝娄琳琳陈瑞祥洪利. 基于方向预测的移动自组网概率转发算法[J]. 计算机应用, 2013, 33(08): 2117-2120.
[8]	王勇袁巢燕唐靖胡良梁. 基于评价相似度对WSN声誉系统合谋攻击的检测机制[J]. 计算机应用, 2013, 33(08): 2218-2221.
[9]	符媛柯唐伦陈前斌龚璞. 车载自组织网络路由协议及研究进展[J]. 计算机应用, 2013, 33(07): 1793-1801.
[10]	王勇袁巢燕唐靖胡良梁. 基于分布式信誉评价的低能耗安全定位算法[J]. 计算机应用, 2013, 33(07): 1802-1808.
[11]	赵昕张新. 基于博弈论的无线传感器网络簇间路由选择算法[J]. 计算机应用, 2013, 33(07): 1813-1815.
[12]	梁海华盘丽娜. 快速CRC逆序校验方法[J]. 计算机应用, 2013, 33(07): 1833-1835.
[13]	文鼎蔡英李卓. 中断容忍网络中一种激励相容的两跳路由协议[J]. 计算机应用, 2013, 33(06): 1500-1504.
[14]	陈文萍杨萌洪弋李德英. 视频传感器网络覆盖问题[J]. 计算机应用, 2013, 33(06): 1489-1522.
[15]	董婷. 移动传感网中基于本地信息的机会路由策略[J]. 计算机应用, 2013, 33(06): 1505-1518.

基于会话关联的软件网络通信行为分析技术

Behavior analysis technology of software network communication based on session association

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

编辑推荐

Metrics