基于帶權(quán)歐氏距離的殼檢測(cè)與脫殼技術(shù)的研究.pdf

1、殼的出現(xiàn)，使軟件保護(hù)進(jìn)入了一個(gè)新的時(shí)代。加殼技術(shù)已廣泛應(yīng)用于軟件保護(hù)，在軟件逆向分析、軟件解密和惡意軟件檢測(cè)等過(guò)程中，軟件脫殼已成為十分重要的環(huán)節(jié)之一。軟件殼檢測(cè)是脫殼的前提，它為后續(xù)的脫殼工作奠定堅(jiān)實(shí)的基礎(chǔ)。目前，較成熟、應(yīng)用廣的殼檢測(cè)算法大多基于殼特征，通過(guò)建立殼特征庫(kù)、查詢(xún)特征串來(lái)判斷待測(cè)文件是否加殼，但這些算法無(wú)法檢測(cè)特征庫(kù)以外的特征串，且易被欺騙。本文重點(diǎn)圍繞軟件殼檢測(cè)算法進(jìn)行研究。
　　 首先，介紹了國(guó)內(nèi)外PE文件殼

2、檢測(cè)、脫殼技術(shù)的現(xiàn)狀及相關(guān)軟件，對(duì)這些技術(shù)作了深入的分析；重點(diǎn)探討了可選映像頭、區(qū)塊、輸入表以及資源等其他相關(guān)結(jié)構(gòu)，側(cè)重剖析了PE文件格式。
　　 其次，為了提高檢測(cè)率，當(dāng)前的PHAD采用了基于特征向量的殼檢測(cè)技術(shù)，但由于PHAD中的特征向量不能充分反映加殼文件的特征，再加上向量中每個(gè)元素具有相同的權(quán)重，使得漏報(bào)率、誤報(bào)率偏高。本文針對(duì)這些缺陷，在PHAD的基礎(chǔ)上，采用增加特征向量的元素、優(yōu)序?qū)Ρ确ù_定權(quán)重值以及帶權(quán)歐氏距離計(jì)算

3、距離等策略，提出了一種基于帶權(quán)歐氏距離的殼檢測(cè)算法。該算法由確定閾值與殼檢測(cè)兩個(gè)階段組成，這兩個(gè)階段執(zhí)行前都要進(jìn)行相應(yīng)的準(zhǔn)備工作，判斷待測(cè)文件是否滿(mǎn)足PE文件格式和計(jì)算待測(cè)文件的NCV向量值。確定閾值階段主要的任務(wù)是確定閾值，同時(shí)將該值提供給殼檢測(cè)階段；殼檢測(cè)階段根據(jù)閾值判斷待測(cè)文件是否加殼。實(shí)驗(yàn)結(jié)果表明，該算法的漏報(bào)率及誤報(bào)率分別是PHAD的1/16與1/8，殼檢測(cè)的準(zhǔn)確率提高了近12[％]。
　　 最后，對(duì)殼的加載與執(zhí)行過(guò)程