基于静态分析的Java源代码后门检测技术研究

２０１２年第０７期　基于静态分析的　Ｊａｖａ源代码后门检测技术研究　王一岚　，郭嵩　（１．北京邮电大学，北京１００８７６；２．北京科技大学，北京１０００８３）　摘要：Ｗｅｂ工程中存在的后门给网站安全带来极大风险，针对日益猖獗的后门攻击，文章提出了　一种基于静态分析的后门检测技术，该技术通过分析源代码，可以检测出Ｊａｖａ语言Ｗｅｂ工程中存在的　主要后门漏洞，并结合流分析及关键数据传播分析，给出漏洞的完整攻击路径。　关键词：静态分析；后门检测；软件安全　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７１—１１２２（２０１２）０７—００４３－０３　Ｂａｃｋｄｏｏｒ　Ｄｅｔｅｃｔｉｏｎ　ｆｏｒ　Ｊａｖａ　Ｌａｎｇｕａｇｅ　ｂａｓｅｄ　Ｏｎ　Ｓｔａｔｉｃ　Ａｎａｌｙｓｉｓ　ＷＡＮＧ　Ｙｉ—ｌａｎ　．ＧＵＯ　Ｓｏｎｇ　（１．Ｂｅｉｊ＇ｉｎｇ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆＰｏｓｔｓ　ａｎｄ　Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ，Ｂｅｉｊｉｎｇ　１００８７６，Ｃｈｉｎａ；　２．Ｕｎｉｖｅｒｓｉｔｙ　ｏｆＳｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｂｅｉｊｉｎｇ，Ｂｅｉｊｉｎｇ　１０００８３，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｂａｃｋｄｏｏｒｓ　ｅｘｉｓｔ　ｉｎ　ＷＥＢ　ｐｒｏｊｅｃｔｓ　ｃａｎ　ｃａｕｓｅ　ｇｒｅａｔ　ｓｅｃｕｒｉｔｙ　ｒｉｓｋｓ　ｆｏｒ　ｔｈｅ　ｓｉｔｅｓ．Ｔｏ　ｐｒｅｖｅｎｔ　ｓｉｔｅｓ　ｆｒｏｍ　ａｔｔａｃｋ，ｔｈｉｓ　ｐａｐｅｒ　ｐｒｅｓｅｎｔｓ　ａ　ｄｅｔｅｃｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ　ｂａｓｅｄ　ｏｎ　ｓｔａｔｉｃ　ａｎａｌｙｓｉｓ．Ｂｙ　ａｎａｌｙｚｉｎｇ　ｔｈｅ　ｓｏｕｒｃｅ　ｃｏｄｅ，ｉｔ　ｃａｎ　ｄｅｔｅｃｔ　ｍｏｓｔ　ｂａｃｋｄｏｏｒ　ｆｌａｗｓ　ｏｆ　ＷＥＢ　ｐｒｏｊｅｃｔｓ　ｗｈｉｃｈ　ａｒｅ　ｄｅｖｅｌｏｐｅｄ　ｂｙ　ｊａｖａ．Ｃｏｍｂｉｎｅｄ　ｗｉｔｈ　ｄａｔａ　ｆｌｏｗ　ａｎａｌｙｓｉｓ　ａｎｄ　ｔａｉｎｔ　ａｎａｌｙｓｉｓ，ｃｏｍｐｌｅｔｅ　ａｔｔａｃｋ　ｐａｔｈ　ｃａｎ　ｂｅ　ｇｉｖｅｎ．　Ｋｅｙ　ｗｏｒｄｓ：ｓｔａｔｉｃ　ａｎａｌｙｓｉｓ；ｂａｃｋｄｏｏｒ　ｄｅｔｅｃｔｉｏｎ；ｓｏｆｔｗａｒｅ　ｓｅｃｕｒｉｔｙ　０引言　随着ＩＴ技术的发展，网络应用已经关系到人类生活的方方面面。黑客、网络犯罪活动日益猖獗，从盗取个人隐私到窃取银　行账号，给被害者带来极大危害。网络攻击中最常见的方式就是植入后门。后门是指攻击者绕过安全认证而直接获取对系统及　数据访问权的方法。通过后门，攻击者可以远程控制被攻击的主机，盗取被攻击者隐私，甚至窃取被攻击者银行账号等，给被　攻击者带来巨大经济损失。更有甚者，通过后门攻击网络服务器，造成网络瘫痪或其他不良后果，严重危害企业和社会利益。　美国国家标准技术研究所（Ｎａｔｉｏｎａｌ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｓｔａｎｄａｒｄｓ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，ＮＩＳＴ）　报告显示，９２％的可被恶意利用的漏洞存在于软　件中。针对软件自身进行安全性分析，是发现后门安全漏洞，防范后门攻击的重要手段。针对以上问题，本文提出了一种有效的　基于静态分析的Ｊａｖａ源代码后门检测技术，并基于该技术开发出相应的检测工具。　１相关工作　目前已有的后门检测技术包括动态检测和静态检测。动态分析是通过真实或模拟环境执行程序发现漏洞，而静态分析不执行　程序，通过对源代码或二进制文件等进行漏洞检测。由于程序后门大多使用隐蔽的数据或函数，所以动态检测的方式很难发现大部　分的程序后门。通过静态分析源代码或二进制文件来发现程序后门的效果是最好的闭。目前静态代码分析主要有以下几种方式　】。　缺陷模式匹配：这种方式的原理是建立一个缺陷模式库，将需要检测的源代码与缺陷模式库进行匹配，来发现代码中存在　的安全问题。这种方式的优点是简单易实现，缺点则是误报率高，且需要缺陷模式库足够强大。　类型推断：这种检测方式是通过对代码中运算对象类型进行分析，保证每条语句都针对正确的类型进行执行。这种方式需　要制定一套类型推理的规则。类型推断技术能够检测出代码中的类型错误，检测出代码质量方面的一些问题，但对于安全问题　的检测不够适用。　模型检查：这种检测方式将代码抽象成一个自动机系统，每条语句抽象为其中的一个状态，通过分析这个状态机，分析出代　●　收稿时间：２０１２—０６—１２　作者简介：王一岚（１９８７一），女，辽宁，工程师，硕士，主要研究方向：软件安全；郭嵩（１９８５一），男，辽宁，工程师，硕士，主要研究方向　计算机网络与应用。　４３　ｌ＿＿一Ｉ

　２．２安全分析器　本系统中的安全分析器大致有如下几种类型：１）查找单　个关键ＡＰＩ是否有被程序调用；２）查找关键ＡＰＩ调用，分析　其参数是否具有关键数据特征。如判断ＳＱＬ查询语句参数是　否是污染数据来检测ＳＱＬ注入、判断网络连接ＡＰＩ的参数是　否是写死的变量来检测后门等。该分析器调用污染分析模块；　３）分析两个ＡＰＩ的关系，可以查询资源释放错误等，分析打　开资源与关闭资源ＡＰＩ的控制关系。通过规则解析器读入规　则，调用指定的安全分析器进行分析。　３　Ｊａｖａ后门静态分析实验及分析　代码一：　………　薹薹ｉ釜　东：蠢兰兰　：．　…　…　……一一ｌ　一囊釜　荸　蓑器瓷量薷　：　，……………　鍪　：：　：　：：：：　：　…………　…　～……………　…　～…　。　＇　…１　分析流程：根据安全规则，需要调用安全分析器分　析ｇｅｔＣｏｎｎｅｃｔｉｏｎ方法的第二个参数是否为硬编码，即１３行　ｇｅｔＣｏｎｎｅｃｔｉｏｎ方法为漏洞爆破点。调用污染分析器，１３行参　数Ｐａｓｓｗｏｒｄ的定值为１２行，变量ｐａｓｓｗｏｒｄ由变量ｃ赋值，所　以继续追踪变量ｃ的定值，通过数据流分析，变量ｃ的定值是　ｌ１行，１１行中ａｐｐｅｎｄ方法会将变量ｂ及变量ａ的污染信息传　递给变量ｃ，因此需分别追踪变量ｂ和变量ａ的定值。其中，变　量ａ的定值为１０行，可知变量ａ为写死的ＳｔｒｉｎｇＢｕｆｆｅｒ（“１２３”），　由此可知，变量ａ的硬编码信　递给了变量Ｐａｓｓｗｏｒｄ，即需要　检测的参数为硬编码，所以这可以判断为一个后门漏洞。　检测结果：　■　，一３—　…ｄ№ｔ…Ｈ…　ｓｈＨ　＾ｐ・，…　ｐｈ　ｄ棚４＿　…－　州…　Ｉｎｍ　ｃＨｑ哗一Ⅱ　）　ｃａ日“ｍＤ　州　岫　ｗ　ｃ曲ａ出ｄｏ　Ｔ　渡瞎捶　一　坤＊　ｒｄ　４ｔ　ｎ　１３，●　ｃ０１　ｅ６　ｉＤ　ｎ：、啪ｃｋ、　哪　ｓ　ｂｐ　ｔ＼ｂ　ｒ～ｎ　ｎｈ　ｒ・　ｔ……Ｉ　，曲ｅ　Ｉ／／　一＞　～ｒｄ＿ｃ　ｎｎｅ　ｔｌ，　ａ▲ｌ‘ｉｎ　：、∞￡ｎ　ｑｎ‘＃　ｓｔｒｉ　，∞ｒｄ　ｃ：　、ｔｅｊｔ、ｔ　ｋ抽　－ｔ，　ｔ　Ｊ　－　ｎⅡ　ｐｕ￣ｒｄ｝；　、　、Ｂ　№口　ｈ●ｔ．，ｍｍ　～ｌｔ　ｎ雎ｊ２，＇　∞１　２　＾Ｈ　ｚ、啪＃ｋ、Ⅵ‘　’　ｒｂｐ　ｅ、　。ｏｒ　，ｔ、…、｝ｔ●ｔ、　＿　如ｏｒ钿Ｉｔ，一　＃ｃｎ　…４　ｆｂ　ＩＰｐ●　｛　｝；　一，ｇｔｎＩｌｇ＾ｔ　１ｉ抽１１一・ｔ　ｃｏ）－２＾　、啪ｔｋ、ｗ－　蜥　ｋ　ｐ…、ｂ　ｋｄ　ｔ、一、ｔｔｊ　、Ｂ．ｃｋｄ。　ｅ　幢　ｔｒｉ　０　…ｒ抽　Ｉｂ‘ｐｐ０　ｌ＾ｌ】　一●ｐｐｅ州Ｉ七ｕ　１１　…口　ｌｎＤ：、啪　ｋ、ｗ　＃　￥ｔｎｎｇ…ｔｗ　ｇｔｒ　ｎｑ【ｂ＂Ｐｅ¨｛　Ｉ　～・ｔ　ｈ　ｌ１，…　０…、　＃ｎ蛳ｂ　’…ｂ，Ｉｃ●、ｂ　ｋｄ０—　ｔ、…～　日　ｎ　“　ｊ　¨　３～口　…　＃　Ｌ呻№　ｌ－；Ｉ　一　１０　…４１　２　Ｄ　ｎ№　ｔｒｉ　ｊｕｆｆ…＝…ｒｉｎｇ酗　ｔｅｔ《　ｌｚ　９　，；　…Ｅ“　ｆｆ……１０，…巳１］０…、…、　ｇ扎　５　ｃｂＰ　ｃｅ　＾　一　、…、ｔ　ｎ　如　ａｔ　ｊ＿　ｔｒ　ｆｆ…　……ｇ　ｕ＂●ｒｔ　１２，　一　ｎ３　－ｔ　ｕ　ｌＯ，…　１¨＾Ｈ　Ｄ、啪ｒｎ　ｇｎ’…ｂ　、ｂ５　一ｓｔ、…、ｃｅ５ｔ、Ｂ　０一口　ｔ　ｓｔｒ　“　ｕｆｔ…　…ｒⅡｇ＃　ｆｆｅｒ｛　¨３　｝；　２０１２年第０７期　代码二：　ｌ　ｐ－ｍ　ｊ　ｐ■吐‘口日１ｔ●●＾－ｃ蜘∞　ｔ●ｔ｛　３　，　辨ｒ　＿＾埘　’　／　８女ｐ■ｂ１Ｉｏ●ｔ－“ａ　ｖ０ｉｄ－－ｉｎ　５ｔｒｉｎ口¨●　口ｌＪ　ｔ　Ｂ　，／　，　舢ｃ４　口ｔｎｔ＃＾　ｅｄ　ｌ　ｔｈｏｄ　５ｔＨｂ　ｉＯ　，　ｊｊ　：３）　ｌ｜　。一　。　《蔓　。　分析流程：根据遗留的Ｄｅｂｕｇ代码规则，检测该漏洞需　要查询是否有任意类型的名称为Ｍａｉｎ的方法被调用，调用安　全分析器分析很容易得出这段Ｍａｉｎ代码是一段遗留的Ｄｅｂｕｇ　代码，很容易被后门程序利用。　检测结果：　风险　蛾臻ｌ１　Ｈ　盘搏　Ｄ　帆ｆ蝌岫Ｖ　‘ｗｍｐ尊ｃ　ｋ　８　。一　Ｉ　ｖｏｉｄ　ｎｌｉｉ　ｓｈ　畦】・ｒ　＇｛　慧　～　期ｌ舅吐　４结束语　９一ｔ　１　Ｉ　）ｏｍ　ｅ＾ｄｅｂｕｇ　ｃｏｄｅ　ＤｄＨＩＢ　ｃｏｄｅ　ｃ柚　瞳ｌｅⅧ　ｎ　试　ａ１竹ｐａｍｉ８ｍ　ａｄ印　ｙａ１ｗｅｂ　ｐ　ｃ　ｏｎ　本文提出的Ｊａｖａ静态代码分析框架，已经以检测工具　的形式得以实现。通过对Ｗｅｂｇｏａｔ等开源代码的测试，并与　Ｆｏｒｔｉｆｙ等较为成熟的静态分析工具进行对比，得出该检测工具　可以查出代码中绝大部分的命令注入、ＳＱＬ注入、跨站脚本等　安全问题的结论，拥有与Ｆｏｒｔｉｆｙ相媲美的准确率。在后门检测　方面则更胜一筹，可以查出绝大部分的死代码、残留Ｄｅｂｕｇ信　息、非法网络连接等后门问题。由于采取了更加高效的迭代算法，　在数据流分析模块具有更高效率。此外，由于安全分析及污染　分析的规则描述全部采用Ｘｍｌ方式，扩展更加容易。　由于本工具目前还处于试验阶段，不够完善，暂时还不能　支持Ｊａｖａ流行框架例如Ｓｔｒｕｃｔｓ、Ｓｐｒｉｎｇ、Ｈｉｂｅｒｎａｔｅ等框架的　安全规则。此外，对网络开发中大量应用的ｊｓ代码，也缺乏支持，　这些工作都有待日后完善。絷（责编程斌）　参考文献：　［１］ＮＩＳＴ．ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ　Ｐｏ￣ａＩ［ＥＢ／ＯＬＪ　ｈｔｔｐ：／／ｗｗｗ．ｎｉｓｔ．ｇｏｖ／　ｉｎｄｅｘ．ｈｔｍｌ，２０１１－０７－１８．　［２］Ｃｈｒｉｓ　Ｗｙｓｏｐａｌ，Ｃｈｒｉｓ　Ｅｎｇ．Ｓｔａｔｉｃ　Ｄｅｔｅｃｔｉｏｎ　ｏｆ　Ａｐｐｌｉｃａｔｉｏｎ　Ｂａｃｋｄｏｏｍ［Ｍ］．　［３］赵卓．常用Ｊａｖａ静态代码分析工具的分析与比较Ｉ￣／ＯＬ］．ｈｔｔｐ：／／　Ⅵ，ｖｎⅣ．ｉｂｍ．ｃｏｍ／ｄｅｖｅｌｏｐｅｒｗｏｒｋｓ／ｃｎ／ｊａｖａ／ｊ—ｌｏ—ｓｔａｔｉｃｔｅｓｔ—ｔｏｏ￣／．２０１２—５—３１．　［４】Ｊｏｈｎ　Ｖｉｅｇａ０Ｔ　Ｂｌｏｃｈ，Ｔａｄａｙｏｓｈｉ　Ｋｏｈｎｏ，Ｇａｒｙ　ＭｃＧｒａｗ．ＩＴＳ４：Ａ　ｓｔａｔｉｃ　ｖｕｌｎｅｒａｂｉｌｉｔｙ　ｓｃａｎｎｅｒ　ｆｏｒ　Ｃ　ａｎｄ　ＣＩ一一Ｉ—ｃｏｄｅ【ｃ】．Ｉｎ　Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆｔｈｅ　１６ｔｈ　Ａｒｕ１ｕａｌ　Ｃｏｍｐｕｔｅｒ　Ｓｅｃｕｒｉｔｙ　Ａｐｐｆｉｃａｔｉｏｎｓ　Ｃｏｎｆｅｒｅｎｃｅ．Ｄｅｃｅｍｂｅｒ　２０００．　［５］Ｂｒｉａｎ　Ｃｈｅｓｓ，Ｊａｃｏｂ　Ｗｅｓｔ．安全编程代码静态分析　．北京：机械工业　出版社．２００８．　［６】孔德光，帅建梅，陈超，葛瑶．基于污点分析的源代码脆弱性检　测技术Ｕ１．小型微型计算机系统，２００９，１（３０）：７８—８２．