HBROP：基于硬件性能計數器的函數級ROP檢測

摘要：ROP（return oriented programming）能夠繞過數據執行保護,并結合內存泄漏和暴力破解突破ASLR等現有系統防御機制,具有極大危害,為此本文基于ROP shellcode不滿足時間和空間局部性原理,會影響分支預測不命中、緩存命中率等性能事件值的現象,提出了一種利用硬件性能計數器（hardware performance counters,HPCs）進行的ROP檢測方法 HBROP,該方法分為離線預處理和動態監控兩個階段.在離線預處理階段收集并存儲所有函數正常的性能事件值,在動態監控階段監測程序執行,在調用敏感系統函數前檢測同一函數相同性能事件值是否異常變化.基于該方法,本文實現了一個HBROP的實驗系統,實驗表明,本文所選取的8個性能事件具有較好的ROP檢測特征;本文的方法,與同類工作相比較,性能開銷在可接受范圍內.