基于攻击目的的软件攻击分类方法研究

第３２卷第２期　计算机应用与软件　Ｖｏ１．３２　Ｎｏ．２　２０１５年２月　Ｃｏｍｐｕｔｅｒ　Ａｐｐｌｉｃａｔｉｏｎｓ　ａｎｄ　Ｓｏｆｔｗａｒｅ　Ｆｅｂ．２０１５　基于攻击目的的软件攻击分类方法研究　薛芳芳　房鼎益　王怀军　王瑾榕　龚晓庆　‘（西北大学信息科学与技术学院陕西西安７１０１２７）　摘要　针对目前软件攻击方法复杂多变、层出不穷，软件攻击分类散乱、不成体系的问题，通过研究和分析软件攻击方法，提出基　于攻击目的的软件攻击分类框架，并对其进行评价，力图为解决软件攻击分类这一科学问题提供思路，为建立攻击知识模型奠定基础，　并为以安全检测或安全性评测为目的的研究人员提供清晰的攻击思路，为构建用于安全保护的软件攻击体系打下理论基础。　关键词　软件攻击　攻击描述　攻击分类　分类评价　攻击技术　中图分类号ＴＰ３０９　文献标识码Ａ　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００－３８６ｘ．２０１５．０２．０６８　ＲＥＳＥＡＲＣＨ　ｏＮ　ＡＴＴＡＣＫ　ＰＵＲＰｏＳＥ．ＢＡＳＥＤ　ＳｏＦＴＷＡＲＥ　ＡＴＴＡＣＫ　ＣＬＡＳＳＩＦＩＣＡＴＩＯＮ　ＭＥＴＨＯＤ　Ｘｕｅ　Ｆａｎｇｆａｎｇ　Ｆａｎｇ　Ｄｉｎｇｙｉ　Ｗａｎｇ　Ｈｕａ￣ｕｎ　Ｗａｎｇ　Ｊｉｎｒｏｎｇ　Ｇｏｎｇ　Ｘｉａｏｑｉｎｇ　（Ｓｃｈｏｏｌ　ｏｆＩｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｎｏａｈｗｅｓｔ　Ｕｎｉｖｅｒｓｉｔｙ，　’ａｆｔ　７１０１２７，Ｓｈａａｎｘｉ，Ｃ￣ｎａ）　Ａｂｓｔｒａｃｔ　Ａｉｍｉｎｇ　ａｔ　ｔｈｅ　ｐｒｏｂｌｅｍｓ　ｔｈａｔ　ａｔ　ｐｒｅｓｅｎｔ　ｔｈｅ　ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ａｒｅ　ｃｏｍｐｌｅｘ　ａｎｄ　ｃｈａｎｇｅａｂｌｅ　ａｎｄ　ｃｏｍｅ　ｏｕｔ　ｏｎｅ　ａｆｔｅｒ　ａｎｏｔｈｅｒ，ａｎｄ　ｔｈｅ　ａｔｔａｃｋｓ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　ａｐｐｅａｒｓ　ｔｏ　ｂｅ　ｓｃａｔｔｅｒｅｄ　ａｎｄ　ｆｒａｇｍｅｎｔｅｄ，ｗｅ　ｐｕｔ　ｆｏｒｗａｒｄ　ｔｈｅ　ａｔｔａｃｋ　ｐｕｒｐｏｓｅ—ｂａｓｅｄ　ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　ｆｒａｍｅｗｏｒｋ　ｂｙ　ｓｔｕｄｙｉｎｇ　ａｎｄ　ａｎａｌｙｓｉｎｇ　ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　ｔｅｃｈｎｏｌｏｇｉｅｓ，ａｎｄ　ｇｉｖｅ　ｔｈｅ　ｅｖａｌｕａｔｉｏｎ　ｏｎ　ｔｈｅ　ｆｒａｍｅｗｏｒｋ　ａｓ　ｗｅｌｌ　ｉｎ　ｏｒｄｅｒ　ｔｏ　ｔｒｙ　ｈａｒｄ　ｔｏ　ｐｒｏｖｉｄｅ　ａｎ　ｉｄｅａ　ｆｏｒ　ｔｈｅ　ｓｏｌｕｔｉｏｎ　ｏｆ　ｔｈｅ　ｓｃｉｅｎｔｉｉｆｃ　ｐｒｏｂｌｅｍ　ｏｆ　ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ，ａｎｄ　ｌａｙ　ｔｈｅ￣ｕｎｄａｔｉｏｎ　ｆｏｒ　ｂｕｉｌｄｉｎｇ　ｔｈｅ　ａｔｔａｃｋ　ｋｎｏｗｌｅｄｇｅ　ｍｏｄｅｌ，ａｓ　ｗｅｌｌ　ａｓ　ｓｕｇｇｅｓｔ　ｔｈｅ　ｃｌｅａｒ　ａｔｔａｃｋｉｎｇ　ｉｄｅａｓ　ｆｏｒ　ｒｅｓｅａｒｃｈｅｒｓ　ｗｈｏｍ　ａｒｅ　ｗｏｒｋｉｎｇ　ｆｏｒ　ｓｅｃｕｒｉｔｙ　ｄｅｔｅｃｔｉｏｎ　ｏｒ　ｓａｆｅｔｙ　ｔｅｓｔ　ａｎｄ　ｅｖａｌｕａｔｉｏｎ，ｔｈｕｓ　ｄｏ　ｔｈｅ　ｔｈｅｏｒｅｔｉｃａｌ　ｓｐａｄｅｗｏｒｋ　ｆｏｒ　ｃｏｎｓｔｒｕｃｔｉｎｇ　ｔｈｅ　ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　ｓｙｓｔｅｍ　ａｉｍｉｎｇ　ａｔ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｅｃｔｉｏｎ．　Ｋｅｙｗｏｒｄｓ　Ｓｏｆｔｗａｒｅ　ａｔｔａｃｋ　Ａｔｔａｃｋ　ｄｅｓｃｒｉｐｔｉｏｎ　Ａｔｔａｃｋ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　Ｅｖａｌｕａｔｉｏｎ　ｏｆ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　Ａｔｔａｃｋ　ｔｅｃｈｎｏｌｏｇｙ　０　引　言　１　软件攻击及其分类方法研究现状　随着信息产业的发展，用于人们生活学习的软件越来越多，　软件盗版、逆向、篡改是软件面临的三大安全问题，随着　软件的安全性研究也逐渐成为了软件行业的研究热点。一方　应用软件越来越多，攻击者的攻击目的也不尽相同，攻击者所采　面，用于软件安全保护的技术层出不穷，另一方面，软件攻击技　取的攻击手段更是五花八门，因此目前还没有明确的软件攻击　术也在不断发展，并逐渐呈现多样化的特点。“知己知彼，百战　的定义。本文所提的软件攻击指对软件进行篡改，盗版、逆向　时所采取的攻击方法，攻击过程以及攻击技术。　不殆”，在研究防御手段的同时，也需要对攻击手段进行深入研　软件攻击是一个复杂的行为过程，规模可大可小，手段亦可　究，从攻击角度为软件安全领域的发展提供思路。　复杂可简单。攻击者需要根据目标软件的功能、行为特征分析　软件攻击技术是多种多样的，要达到某一特定的攻击目标　和定位关键代码的大致位置，并对相关代码进行分析。与网络　所使用的方法和路径也并不单一。传统攻击分类方法主要基于　攻击相比，软件攻击更难于描述，分类和建模。目前还没有明确　攻击经验术语、攻击技术性质２个角度进行分类。本文通过分　的软件攻击分类体系，现有的软件攻击方法大多只针对于某种　析软件攻击目的，建立基于攻击目的的软件攻击分类框架，从攻　特定的保护方法，如文献［１］对软件加壳保护方法所面临的攻　击所作用的软件资产、攻击所针对的保护技术和逆向工程各阶　击技术进行分类。文献［２］综述了软件水印保护方法的攻击方　段所用的攻击技术３个角度来分类软件攻击技术，并采用分类　法，文献［３，４］等试图给出代码混淆软件保护方法的通用攻击　特性评价法和加权计算评价法对５种软件攻击分类方法进行　方法。文献［５］对现有的常用软件攻击工具进行分类。其他大　评价。　分类结果有利于对攻击技术的系统性学习，并试图为建立　收稿日期：２０１３一ｏ８—０３。国家自然科学基金项目（６１０７０１７６，　６１１７０２１８，６１２７２４６１）；高等学校博士点基金项目（２０１０６１０１１１００１８）；陕西　软件攻击模型奠定基础，为以安全检测或安全性评测为目的的　省科技攻关计划项目（２０１１Ｋ０６—０７）；陕西省教育厅产业化培育项　研究人员提供多种清晰的攻击思路，同时为构建用于安全保护　目（２０１１ｊＳ０６）。薛芳芳，硕士，主研领域：软件保护与攻击，软件保护有效　的软件攻击体系打下理论基础。　性评测。房鼎益，教授。王怀军，博士。王瑾榕，硕士。龚晓庆，副教授。　２８４　计算机应用与软件　２０１５卑　多数软件攻击方法都由黑客提出，比较零散、难于总结，如国内　通常需要静态分析和动态分析两种攻击技术结合，如文献［４］　采用静动结合的攻击方法对扁平控制流等混淆方法进行攻击，　看雪论坛　成百上千的软件攻击技术，国外Ｔｕｔｓ４　Ｙｏｕ　论坛等　等。软件攻击分类方法研究的匮乏，使得软件攻击建模研究以　及软件攻击知识库的建立受到很大。软件攻击技术分类方　文献［１６］采用静动结合的攻击方法对一组水印保护软件进行　攻击。　法散乱、不成体系，针对于软件攻击技术的分类方法研究甚少，　使得保护人员对攻击的研究停滞不前，难以实现“知己知彼”的　战术。　网络攻击技术的发展已经十分成熟，已有很多完善的分类　体系，网络攻击分类体系目前主要有三类：列表型分类体　系　。＇　、树型分类体系¨叫和分类体系　］。通过攻击分　２．３传统攻击分类方法存在的问题　基于常用攻击经验术语分类是一种最基础的分类方法，该　分类的目的是学习每一种攻击技术，明确软件攻击技术集合。　随着新的攻击技术的出现，攻击技术集合会不断扩展。很显然，　基于攻击术语的分类方法往往是根据经验进行的，逻辑性和层　类可以自动建立攻击模型，如文献［１３］通过ＤｅｔｅｃｔＣｌａｓｓ分类方　法，自动建立攻击树生成算法并重用攻击模型。可以借鉴网络　攻击分类方法对软件攻击技术进行分类。文献［１４］同样根据　攻击分类结果对网络攻击进行建模。　攻击分类一直是解决某些安全问题时所采用的方法和手　段，人们在攻击分类方面已经作过不少研究，由于这些分类研究　的出发点和目的不同，为此，分类着眼点以及原则、标准也不尽　相同，分类的结果也存在很大差异。著名的安全专家　Ａｍｏｒｏｓｏ＿】　对分类研究提出了一些有益的建议，他认为攻击分　类的理想结果应该具有六个特征：互斥性、完备性、无二义性　（确定性）、可重复性、可接受性、有用性。虽然现有分类研究　中还没有一个分类结果能真正完全满足以上６个特征，但对于　分类研究和安全防御方面都有一定的借鉴意义。　软件攻击分类迄今为止还是一个难题，网络攻击分类的广　泛研究对软件攻击分类有一定的借鉴意义，本文力图为解决软　件攻击分类这一科研难题提供思路。　２传统软件攻击分类方法　２．１　基于常用攻击经验术语分类　基于经验术语的分类方法就是利用攻击中常见的技术术　语，社会术语等来对攻击进行描述分类的方法。　目前对软件攻击的描述常用的经验术语有：软件爆破、编　写注册机、获得使用权限、社会活动、钩子技术、脱壳、反汇　编、反编译、内存倾卸（ｄｕｍｐ）、运行时内存监控、交互式调试、　去除花指令、修改数据流、修改控制流、缓冲区溢出攻击、下　断调试分析、数据提升和代码提升、修改目标文件、数据复制　和文件复制。　２．２基于攻击技术性质分类　软件攻击技术按照其自身性质可分为两类　：静态分析　和动态分析。静态分析关注程序的静态信息，即以程序为中心，　通过分析程序自身来推断程序可能的行为。常见的静态分析技　术有反汇编、分析控制流、分析数据流、反编译等动态分析关　注程序的动态信息，即通过执行程序而获取程序信息的过程。　常见的动态分析技术有运行时内存监控、交互式调试、数据提　升、数据文件替换、分析程序执行流等。　虽然静态分析和动态分析有很大差别，应用于同一目标系　统时开销不同、结果也不同，但静态分析和动态分析可以使用　相同的技术方法。例如切片技术就可以静态地、动态地或动静　结合同时使用。静态分析和动态分析在不同阶段使用，可以相　互补充、相互支持。当攻击同时关注静态信息和动态信息时，　则攻击方法称为静动结合攻击方法。因此，在实际攻击场景中，　次结构不清晰，目的性不强，而且采用的术语内涵界定不清，没　有获得多数人的认可。对于新出现的攻击只能通过增加术语的　方式加以补充，扩充性很差。但是此分类方法最为方便简洁，而　且目前软件攻击技术杂乱无章，采用此种分类最容易对攻击技　术进行初步分类。基于攻击技术性质分类，其分类效果明确。　但是分类过于笼统，攻击技术性质只是攻击技术的一个属性，无　法通过上述两种攻击分类方法对软件攻击过程有更明确的　认识。　３基于攻击目的的软件攻击分类方法　３．１术语定义　基于攻击目的的攻击分类方法：从攻击者角度出发，对软　件攻击过程按照不同攻击目的实现多角度描述。　攻击方法攻击行为过程的概括性描述。　攻击过程攻击行为的～般过程。　攻击技术攻击过程包含若干分散的攻击步骤，实现每一　个攻击步骤所采用的技术叫攻击技术。　３．２分类依据　攻击者实施软件攻击的最终意图在于达到不同的攻击目　的，为了实现不同攻击目的，其攻击过程也不尽相同。　传统攻击分类只是从攻击技术的层面进行分类，没有全面　描述软件攻击这一动态过程。基于攻击目的的攻击分类方法，　分析每一个攻击目的所要实现的具体攻击目标，实现该攻击目　标采用的攻击技术。攻击分类的根本目的是为了对软件攻击这　一复杂的过程有更清楚的认识，能够根据分类结果对软件攻击　过程进行建模。　安全软件的基本思想就是通过软件保护方法增加逆向破解　的难度，从而使得通过逆向破解获取软件资产这一最终目的难　以实现。因此，攻击者在实施软　件攻击的时候，逆向破解和保护　软件保护方法　（闻接目的）　方法的攻击是间接目的，获取软　资产　件资产是最终目的。逆向破解　目的）　这一子目的贯穿于去除软件保　，　护方法攻击以及软件资产攻击　中。其关系如图１所示。　图１不同攻击目的之间的关系　三种攻击目的的主要内容如下：　１）获取软件资产软件资产主要包括：数据，程序决策和　属性，函数和函数调用等。　２）去除特定软件保护方法　软件保护方法主要包括：版　权保护，关键代码段保护，权限保护。通常这些软件保护方法都　是用于保护特定的软件资产。　‘　３）逆向破解逆向破解就是指通过逆向工程手段实现破　第２期　解软件的目的，主要包　薛芳芳等：基于攻击目的的软件攻击分类方法研究　２８５　密机制，使得软件中的关键数据更加隐蔽。软件保护者更会在　括：反汇编，修改目标代　码段以及反编译。　软件发布之前对软件进行加壳、虚拟机等保护。软件开发者和　保护人员之所以采取诸多安全策略对软件进行保护，其主要目　的就是为了防止软件攻击者获取程序当中的关键数据、函数、　控制流、执行流等关键软件资产。文献［１７］中总结了现有的软　件资产，攻击保护后的软件，其实质就是对软件资产作改变或信　图２攻击目的分类体系　基于攻击者的攻击　目的，本文提出了一个软　件攻击分类框架，如图２　所示。从攻击目的出发，　息获取。例如对函数、函数调用进行攻击，其主要目的是获得　分析攻击者的动机，对软　件攻击这一复杂过程进行分类，有助于安全人员针对性的改进　安全策略。　函数参数、函数返回值并改变函数调用点（函数参数、函数返　回值可统称为函数边界）。　因此，基于攻击对象进行攻击分类的思路为：确定与每一　３．３基于软件资产的攻击分类　种程序外观相对应的攻击目标，找出实现各攻击目标的攻击技　软件开发者会在软件开发过程中采用一些安全策略，如加　术，分类结果如表１所示。　表１基于攻击对象分类结果　软件资产　攻击目标　攻击技术　获得可计算数据　反汇编、运行时内存监控、交互式调试　可计算数据　篡改可计算数据　反汇编、运行时内存监控、数据提升、数据文件替换、　交互式调试、ＯＤ修改写权限插件　用非条件跳转置换条件跳转　反汇编　运行时内存监控、修改控制流　程序决策和属性　强制执行指定分支　反汇编、运行时内存监控、修改控制流、溢出攻击、　程序文件替换、指令替换、分支干扰　找到感兴趣的函数调用点下断　反汇编、运行时内存监控、下断点　函数边界　监视栈或寄存器中的函数参数和返回值　运行时内存监控、交互式调试　设置恶意调用环境并从恶意调用环境中调用函数　反汇编、运行时内存监控、修改控制流、代码提升　获得程序控制流　反汇编、运行时内存监控、交互式调试、静态分析　控制流　篡改程序控制流　修改目标文件控制流　数据流　获取程序数据流　反汇编、运行时内存监控、下断调试分析、静态分析　静态或动态分析提取程序控制流　反汇编、运行时内存监控、下断调试分析、静态分析　执行流　篡改程序执行流　修改目标文件执行流　通过软件资产的攻击分类方法，可以明确不同类型的软件　成熟，常见保护方法主要分为版权保护、关键代码段保护和权　资产存在什么安全隐患，攻击者是如何利用这些安全隐患来成　限保护¨　Ｊ。其中，版权保护主要指保护软件的版权，防止软件　功获取软件资产的。从而可以给开发人员基于安全人员提供指　被盗版。关键代码段保护主要指通过混淆加密等手段使得关键　导和建议。　代码段信息被隐藏。权限保护指防止非法用户对于软件的　３．４基于保护方法的攻击分类　使用。　去除或者绕过软件保护方法是攻击者进行软件攻击的一个　因此，基于保护方法对攻击进行分类的思路为：首先对软　主要目的，针对于不同的保护方法，攻击者所采用的攻击方法也　件保护方法进行分类，确定与每种保护方法相对应的攻击方法　不同。　和攻击过程，找出攻击过程各个阶段的攻击技术，分类结果如表　软件保护和软件攻击是相辅相成的，对于每一种保护方法　２所示。表２中，保护技术是实现保护方法所采用的具体技术，　都有相应的攻击方法，将攻击技术按照其所针对的保护技术进　攻击方法是针对于特定攻击技术，所采用的攻击方法，攻击过程　行分类整理，使得攻击技术明确化，有利于对保护技术和攻击技　是该攻击方法的实现过程，攻击技术是该攻击过程中所用到的　术的共同学习，同时使得攻击目标更加明确。目前，已有针对于　技术。　特定软件保护方法的攻击分类，文献［１］对脱壳攻击（脱壳攻击　基于保护方法的攻击分类，建立了从保护方法到攻击方法　是针对加壳保护的攻击方法）过程中攻击技术进行分类整理，　之间的桥梁，其最直接的好处就是可以分析现有保护方法的优　文献［２］综述了软件水印保护方法的攻击方法，文献［３，４］介　劣，总结针对不同类型保护方法的攻击方法，“知己知彼”，从而　绍了代码混淆保护的攻击方法。软件保护方法的研究相对较为　更好地改进保护方法。　２８６　计算机应用与软件　表２基于保护方法分类结果　２０１５丘　保护分类　保护技术　攻击方法　去除攻击　攻击过程　定位水印，去除水印，修复代码　定位水印，改变水印使其失效，修复代码　定位水印添加水印，修复代码　，攻击技术　反汇编、运行时内存监控　反汇编、运行时内存监控　反汇编、运行时内存监控　差分攻击　代码重叠、去除垃圾指令、分支跳转、　地址多重定向技术、控制流混淆技术　反汇编、运行时监控、程序文件和数据文件替换　版权保护　水印　变形攻击　添加攻击　共谋攻击　差分攻击　定位垃圾代码去除垃圾代码　，预处理　混淆　数据流　混淆　混淆　控制流　静态分析攻击　黑盒攻击　数据流攻击　黑盒攻击　动态分析攻击　去除冗余数据　去除不透明谓词，将扁平控制　混淆　布局　混淆　黑盒攻击　统计分析　黑盒攻击　流恢复成正常控制流　反汇编、运行时监控、程序文件和数据文件替换　关键算法　（代码段）保护　定位关键变量　反汇编、运行时内存监控　虚拟机指令分析、解释器分析　恢复受保护代码　反汇编、运行时监控　交互式调试、修改执行流　反汇编、静态代法分析　反汇编、文件或数据复制、修改执行流　反汇编、运行时内存监控、交互式调试、　数据提升、代码提升　反汇编、运行时、交互式调试、　程序文件和数据文件替换　虚拟机　还原受保护代码　单一检测点　失败攻击　静态分析攻击　反汇编，定位虚拟机解释器代码　反汇编、发现单一检测点、　修改指令绕过监测机制　反汇编、静态代码分析、获得源程序　反汇编、拷贝内存内容、获得执行权　修改软件运行环境，干扰和　篡改软件执行过程和运行结果　防篡改　内存倾卸攻击　运行过程中的攻击　权限保护　注册机　破坏注册机　暴力破解，编写注册机　３．５基于逆向破解的攻击分类　逆向破解就是指通过逆向工程手段实现破解软件的目的，　软件最初面临的安全问题就是逆向破解，逆向破解迄今为止也　是攻击者最常见的攻击目标之一，其根本目的就是获取软件当　的逆向攻击阶段，确定与各个攻击阶段相对应的攻击目标，分析　实现各攻击目标的攻击技术，结果如表３所示。　逆向破解这一攻击子目的贯穿于软件攻击的整个过程，逆　向工程方法、技术已经较为成熟，基于逆向破解进行软件攻击　分类对软件攻击这一行为过程有更深认识，从而有助于研究软　件攻击建模。　表３基于逆向攻击阶段分类结果　逆向工程　攻击阶段　攻击目标　中的设计和实现细节，以便达到其他目的，如篡改，代码重用等。　逆向工程作为逆向破解的手段可分为不同的阶段，各个阶　段都对应不同的攻击技术，通过对各阶段的攻击技术的分类，可　以方便地在逆向工程时给出多种攻击思路，逆向工程　可以分　为三大阶段：反汇编、对目标代码段分析和处理、反编译。对　其进行细化　可分为：查壳、脱壳、反汇编、查找关键代码段、　攻击技术　特征码检测技术、基于行为检测技术　自动脱壳工具脱壳、手动脱壳　反汇编　查壳　反汇编　脱壳　反汇编　控制流结构分析、数据流分析、反编译。逆向攻击过程如图３　所示　查找关键　代码段　修改目标　代码段　控制流　分析　动态调试、字符串参考、ＡＰＩ参考、　分析函数调用关系图　反汇编、运行时内存监控、交互式调试、　静态分析、修改控制流　数据流　分析　反汇编、运行时内存监控、　下断点调试、静态分析　反编译　反编译　使用工具反编译关键代码段、按照控制流和　数据流分析结果，手动反编译关键代码段　４软件攻击技术分类方法评价　目前国内外在网络攻击分类方面的成果已有很多，对于攻击　分类的评价也有研究　驯。本节借鉴文献［１９］中提出的两种常　用的网络攻击评价方法，对所提出的软件攻击方法进行评价。　图３逆向攻击流程图　因此基于攻击阶段进行攻击分类的思路为：明确７个细化　第２期　４．１分类特性评价法　薛芳芳等：基于攻击目的的软件攻击分类方法研究　２８７　各不相同，因此很难对软件攻击作出准确系统的分类，迄今为　采用“较好”“一般”“较差”对前面提出的软件攻击分类方法　进行定性评价，单独分析传统分类方法和基于攻击目的的软件分　类方法对于分类特性的满足程度。攻击分类结果要尽量满足分　止，对于软件攻击分类的研究甚少。　在深入研究攻击技术的基础上，本文建立基于攻击目的的　软件攻击分类框架，给出了分类结果。本文还对所提出的分类　方法进行分析和评价。研究工作有利于对攻击技术的系统性学　类的主要原则，直观易理解，并符合人们的习惯，要能较全面地描　述攻击，说明攻击过程的生命周期，最终分类结果如表４所示。　表４分类特性法评价结果　类别　可接受性完备性互斥性确定性可用性　虽然表４中已经详细罗列出了各种分类法对于５项分类特ｆ生的　满足程度，但是通过这种表示形式难以得到孰优孰劣的最终结论。　４．２加权计算评价法　为了使表４中的结果能够更加直观，便于人们正确认识和判　断，本文借鉴文献［１９］中采用的加权计算评价方法分别对每类软件　攻击分类法进行综合评判。用　（１≤ｉ≤５）依次表示５种分类法　（２种传统攻击分类方法，３中攻击目的分类方法）。设分类法的综　合评判结果为　，影响・日的两个关键因素分别为对分类特性的满足　程度和不同特陛对评判结果造成的影响。其中，五项分类特性的满　足程度分别为可接受性满足程度＾　、完备性满足程度＾　、互斥性　满足程度　、确定性满足程度＾　、可用性满足程度ｈ　，而可接受　性、完备眭、互斥性、确定性和可用性对综合评判结果日的影响程　度分别为ｔｏ。，ｔｏ：，…，０）５。最终的综合评判结果日的计算公式为：　日＝∑　：　×ｈ；　（１）　其中：ｈ　的值域为集合Ｖ＝｛１，２，３｝分别对应于“较好”“一般”　“较差”的评价。参考专家建议，可分别设定　的｛　，，∞：，　，　，　｝＝｛０．１，０．３，０．１，０．２，０．３｝。对上述分类法进行加权计　算后得到的综合评判结果如表５所示。　表５加权计算法评价结果　通过加权计算，对５种分类法可以有一个直观的认识，并且　可以通过分析表中数据得到如下结论：　ａ）不同类别的分类法的最终比较结果为：　Ｍ１＜Ｍ２＜Ｍ４＝Ｍ５（Ｍ３　ｂ）从综合评分来看，　和　分别得到最差和最好的评　价，而对于结果相同均为２．７的峨和　而言，则无法从结果　中得到更加详细的信息来区别两者的优劣。　５　结语　软件攻击技术与软件保护技术相辅相成，软件自身特征各　不相同，攻击者关注的攻击目标也不尽相同，采用的攻击方法也　习，为建立软件攻击模型奠定基础，为以安全检测或安全ｌ性评测　为目的研究人员提供攻击方案，同时为构建用于安全保护的软　件攻击体系打下理论基础。　参考文献　［１］Ｘｉｅ　Ｐ　Ｄ，Ｌｉ　Ｍ　Ｊ，Ｗａｎｇ　Ｙ　Ｊ，ｅｔ　ａ１．Ｕｎｐａｃｋｉｎｇ　Ｔｅｃｈｎｉｑｕｅｓ　ａｎｄ　Ｔｏｏｌｓ　ｉｎ　Ｍａｌｗａｒｅ　Ａｎａｌｙｓｉｓ［Ｊ］．Ａｐｐｌｉｅｄ　Ｍｅｃｈａｎｉｃｓ　ａｎｄ　Ｍａｔｅｒｉａｌｓ，２０１２，１９８—　１９９：３４３—３５０．　［２］李莉．软件水印攻击综述［ｃ］／／中国电子学会第十五届信息论学　术年会暨第一届全国网络编码学术年会论文集（上册），２００８．　［３］Ｒａｂｅｒ　Ｊ，Ｌａｓｐｅ　Ｅ．Ｄｅｏｂｆｕｓｃａｔｏｒ：Ａｎ　ａｕｔｏｍａｔｅｄ　ａｐｐｒｏａｃｈ　ｔｏ　ｔｈｅ　ｉｄｅｎｔｉｆｉ・　ｃａｔｉｏｎ　ａｎｄ　ｒｅｍｏｖｌａ　ｏｆ　ｃｏｄｅ　ｏｂｆｕｓｃａｔｉｏｎ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　Ｒｅ—　ｖｅｒｓｅ　Ｅｎｇｉｎｅｅｒｉｎｇ．２００７：２７５—２７６．　［４］Ｕｄｕｐａ　Ｓ　Ｋ，Ｄｅｂｒａｙ　Ｓ　Ｋ，Ｍａｄｏｕ　Ｍ．Ｄｅｏｂｆｕｓｅａｔｉｏｎ：Ｒｅｖｅｒｓｅ　ｅｎｇｉｎｅｅｒｉｎｇ　ｏｂｆｕｓｃａｔｅｄ　ｃｏｄｅ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　１２ｔｈ　Ｗｏｒｋｉｎｇ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｒｅ—　ｖｅｒｓｅ　Ｅｎｇｉｎｅｅｒｉｎｇ（ＷＣＲＥ），２００５：４５—５４．　［５］Ｃａｎｚａｎｅｓｅ　ＪＲ，Ｏｙｅｒ　Ｍ，Ｍａｎｃｏｒｉｄｉｓ　Ｓ，ｅｔ　ａ１．Ａ　ｓｕｒｖｅｙ　ｏｆ　ｒｅｖｅｒｓｅ　ｅｎｇｉ—　ｎｅｅｒｉｎｇ　ｔｏｏｌｓ　ｆｏｒ　ｔｈｅ　３２－ｂｉｔ　Ｍｉｃｒｏｓｏｆｔ　Ｗｉｎｄｏｗｓ　ｅｎｖｉｒｏｎｍｅｎｔ［Ｄ］．Ｄｒｅｘｅｌ　Ｕｎｉｖｅｒｓｉｔｙ，ＵＳＡ，２００５：１７—２０．　［６］看雪论坛［ＯＬ］．ｈｔｔｐ：／／ｋａｎｘｕｅ．ｃｏｒｎ．　［７］ｔｕｔｓ４　Ｙｏｕ论坛［ＯＬ］．ｈｔｔｐ：／／ｔｕｔｓ４ｙｏｕ．ｃｏｒｎ．　［８］Ｈｏｗａｒｄ　Ｊ　Ｄ．Ａｎ　ａｎａｌｙｓｉｓ　ｏｆ　ｓｅｃｕｒｉｔｙ　ｉｎｃｉｄｅｎｔｓ　ｏｎ　ｔｈｅ　Ｉｎｔｅｒｎｅｔ　１９８９—　１９９５［Ｄ］ＵＳＡ：Ｃａｒｎｅｇｉｅ　Ｍｅｌｌｏｎ　Ｕｎｉｖｅｒｓｉｔｙ，１９９７．　［９］Ｐａｕｌｎａｓｋａｓ　Ｎ，Ｇａｒｓｖａ　Ｅ．Ｃｏｍｐｕｔｅｒ　ｓｙｓｔｅｍ　ａｔｔａｃｋ　ｃｌａｓｓｉｉｆｃａｔｉｏｎ［Ｊ］．Ｅ—　ｌｅｃｔｒｏｎｉｅｓ　ａｎｄ　Ｅｌｅｃｔｒｉｃａｌ　Ｅｎｇｉｎｅｅｒｉｎｇ，２００６，２（６６）：８４—８７．　［１０］Ｌｏｕｇｈ　Ｄ　Ｌ．Ａ　ｔａｘｏｎｏｍｙ　ｏｆ　ｃｏｍｐｕｔｅｒ　ａｔｔａｃｋｓ　ｗｉｔｈ　ａｐｐｌｉｃａｔｉｏｎｓ　ｔｏ　ｗｉｒｅ－　ｌｅｓｓ　ｎｅｔｗｏｒｋｓ［Ｄ］．ＵＳＡ：Ｖｉｒｇｉｎｉａ　Ｐｏｌｙｔｅｃｈｎｉｃ　Ｉｎｓｔｉｔｕｔｅ　ａｎｄ　Ｓｔａｔｅ　Ｕｎｉ—　ｖｅｍｉｔｙ，２００１．　［１１］Ｈａｎｓｍａｎ　Ｓ，Ｈｕｎｔ　Ｒ．Ａ　ｔａｘｏｎｏｍｙ　ｏｆｎｅｔｗｏｒｋ　ａｎｄ　ｃｏｍｐｕｔｅｒ　ａｔｔａｃｋｓ［Ｊ］．　Ｃｏｍｐｕｔｅｒｓ＆Ｓｅｃｕｒｉｔｙ，２００５，２４（１）：３ｌ一４３．　［１２］Ｈｏｗａｒｄ　Ｊ　Ｄ，Ｌｏｎｇｓｔａｆｆ　Ｔ　Ａ．Ａ　ｃｏｍｍｏｎ　ｌａｎｇｕａｇｅ　ｆｏｒ　ｃｏｍｐｕｔｅｒ　ｓｅｃｕｒｉｔｙ　ｉｎｃｉｄｅｎｔｓ［Ｒ］．Ｓａｎｄｉａ　Ｒｅｐｏｒｔ：ＳＡＮＤ９８・８６６７，Ｓａｎｄｉａ　Ｎａｔｉｏｎａｌ　Ｌａｂｏｒａ—　ｔｏｒｉｅｓ，１９９８．　［１３］向尕，曹元大．基于攻击分类的攻击树生成算法研究［Ｊ］．北京理　工大学学报，２００３，２３（３）：３４０—３４４．　［１４］杨正飞．网络攻击分类及网络攻击系统模型研究［Ｄ］．兰州：兰州　大学，２００６．　［１５］Ｐｉｅｐｒｚｙｋ　Ｊ，Ｈａｒｄｊｏｎｏ　Ｔ，Ｓｅｂｅｒｒｙ　Ｊ．Ｆｕｎｄａｍｅｎｔａｌｓ　ｏｆ　ｃｏｍｐｕｔｅｒ　ｓｅｃｕｒｉｔｙ　［Ｍ］．Ｓｐｒｉｎｇｅｒ，２００３．　［１６］Ｅｒｎｓｔ　Ｍ　Ｄ．Ｓｔａｔｉｃ　ａｎｄ　ｄｙｎａｍｉｃ　ａｎａｌｙｓｉｓ：Ｓｙｎｅｒｇｙ　ａｎｄ　ｄｕａｌｉｔｙ［ｃ］／／ＰＨ＇ｅｅｅｄ　ｉｎｇｓ　ｏｆ　ｔｈｅ　ＷＯＤＡ　２０￣：ＩＣＳ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｄｙｎａｎｌｉｃ　Ａｎａｌｙｓｉｓ，２００３：２４—２７．　［１７］Ｇｕ　Ｙ　Ｘ．Ｓｏｆｔｗａｒｅ　Ｓｅｃｕｒｉｔｙ　Ｐａｔｔｅｒｎｓ：Ｗｈｉｔｅ—Ｂｏｘ　Ａｔｔａｃｋ　Ａｎａｌｙｓｉｓ　ａｎｄ　Ｓｏｆｔｗａｒｅ　Ｐｒｏｔｅｃｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ［Ｒ］．１　ｓｔ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　ＡＣＭ　Ｓｕｍｍｅｒ　Ｓｃｈｏｏｌ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｐｒｏｔｅｃｔｉｏｎ　Ｔｈｅｍｅ　ｏｎ　Ｓｏｆｔｗａｒｅ　Ｓｅｃｕ—　ｒｉｔｙ　ａｎｄ　Ｐｒｏｔｅｃｔｉｏｎ　Ｂｅｉｊｉｎｇ，Ｃｈｉｎａ，Ｊｕｌｙ　２６—３０，２０１０．　［１８］Ｃｏｌｌｂｅｒｇ　Ｃ．Ｓｕｒｒｅｐｔｉｉｔｏｕｓ　ｏＳｆｔｗａｒｅ：Ｏｂｆｕｓｃａｔｉｏｎ，Ｗａｔｅｒｍａｒｋｉｎｇ，ｎａｄ　Ｔａｍｐｅｒ－　ｐｒｏｏｆｉｎｇｆｏｒ　ｏＳｆｗｔａｒｅ　Ｐｒｏｔｅｃｔｉｏｎ［Ｍ］．Ｂｏｓｔｏｎ：ＰｅｒｓｏｎＥｄｕｃａｔｉｏｎ．２Ｏ０９：７—９．　［１９］章丽娟，王清贤．基于多视图的攻击分类体系［Ｊ］．计算机应用研　究，２０１０，２７（１）：２５５—２５８．　［２０］郭林，严芬，黄皓．基于角度的攻击分类方法［Ｊ］．计算机应用　研究，２００７，２４（４）：１３９—１４４．