关于CPU内嵌的防病毒技术

可以从两个角度对此类问题进行解释:
1、CPU内嵌的防病毒技术
2、缓冲区溢出(buffer overrun)
CPU内嵌的防病毒技术:是一种硬件防病毒技术,与操作系统相配合,可以防范大部分针对缓冲区溢出(buffer overrun)漏洞的攻击(大部分是病毒)。Intel的防病毒技术是EDB(Excute Disable Bit),AMD的防病毒技术是EVP(Ehanced Virus Protection),但不管叫什么,它们的原理都是大同小异的。严格来说,目前各个CPU厂商在CPU内部集成的防病毒技术不能称之为“硬件防毒”。首先,无论是Intel的EDB还是AMD的EVP,它们都是采用硬软结合的方式工作的,都必须搭配相关的操作系统和软件才能实现;其次,EDB和EVP都是为了防止因为内存缓冲区溢出而导致系统或应用软件崩溃的,而这内存缓冲区溢出有可能是恶意代码(病毒)所为,也有可能是应用程序设计的缺陷所致(无意识的),因此我们将其称之为“防缓冲区溢出攻击”更为恰当些。

在计算机内部,等待处理的数据一般都被放在内存的某个临时空间里,这个临时存放空间被称为缓冲区(Buffer),缓冲区的长度事先已经被程序或者操作系统定义好了。缓冲区溢出(buffer overrun):是指当计算机程序向缓冲区内填充的数据位数超过了缓冲区本身的容量。溢出的数据覆盖在合法数据上。理想情况是,程序检查数据长度并且不允许输入超过缓冲区长度的字符串。但是绝大多数程序都会假设数据长度总是与所分配的存储空间相匹配,这就为缓冲区溢出埋下隐患。操作系统所使用的缓冲区又被称为堆栈,在各个操作进程之间,指令被临时存储在堆栈当中,堆栈也会出现缓冲区溢出。当一个超长的数据进入到缓冲区时,超出部分就会被写入其他缓冲区,其他缓冲区存放的可能是数据、下一条指令的指针,或者是其他程序的输出内容,这些内容都被覆盖或者破坏掉。可见一小部分数据或者一套指令的溢出就可能导致一个程序或者操作系统崩溃。而更坏的结果是,如果相关数据里包含了恶意代码,那么溢出的恶意代码就会改写应用程序返回的指令,使其指向包含恶意代码的地址被CPU编译而执行,而这可能发生“内存缓冲区溢出攻击”,“冲击波”、“震荡波”等蠕虫病毒就是采用这种手段来攻击电脑的。

缓冲区溢出是由编程错误引起的。如果缓冲区被写满,而程序没有去检查缓冲区边界,也没有停止接收数据,这时缓冲区溢出就会发生。缓冲区边界检查被认为是不会有收益的管理支出,计算机资源不够或者内存不足是编程者不编写缓冲区边界检查语句的理由,然而技术的飞速发展已经使这一理由失去了存在的基础,但是多数用户日常主要应用的程序中大多数其实仍然是十年甚至二十年前的程序代码,并没有检查缓冲区边界的功能。缓冲区溢出是病毒编写者和特洛伊木马编写者偏爱使用的一种攻击方法。攻击者或者病毒善于在系统当中发现容易产生缓冲区溢出之处,运行特别程序,获得优先级,指示计算机破坏文件,改变数据,泄露敏感信息,产生后门访问点,感染或者攻击其他计算机。对于缓冲区溢出攻击,防毒杀毒软件虽然也可以处理,但也只能是亡羊补牢,而操作系统和应用软件的漏洞又是难以预测的,随时可能被利用,引来缓冲区溢出攻击。在这种情况下,预防缓冲区溢出攻击应该从硬件层次着手,开始成为许多IT厂商的共识,于是大家俗称的CPU硬件防病毒功能应运而生了。缓冲区溢出攻击最基本的实现途径是向正常情况下不包含可执行代码的内存区域插入可执行的代码,并欺骗CPU执行这些代码。而如果我们在这些内存页面的数据区域设置某些标志(No eXecute或eXcute Disable),当CPU读取数据时检测到该内存页面有这些标志时就拒绝执行该区域的可执行指令,从而可防止恶意代码被执行,这就是CPU的防缓冲区溢出攻击实现的原理。

而对于开启了EDB或EVP功能的计算机来说,一般也就可实现数据和代码的分离,而在内存某个页面将被设置为只做数据页,而任何企图在其中执行代码的行为都将被CPU所拒绝。当然,开启EDB、EVP功能的CPU是无法独立完成标注不可执行代码内存页面以及进行相关检测防治工作的,它还需要相关操作系统和应用程序的配合。
目前,Windows XP SP2、Windows Server 2003 SP1及64bit的Windows操作系统都提供了对EDB、EVP技术的支持。如果你使用的操作系统是Windows XP SP2,那么启用其中的DEP(Data Execution Protection,数据执行保护)功能即可为你的电脑提供比较全面的防缓冲区溢出攻击功能。DEP是可以独立运行的,并也可帮助防御某些类型的恶意代码攻击,但要充分利用DEP可以提供的保护功能,就需要CPU的配合了。DEP可单独或和兼容的CPU一起将内存的某些页面位置标注为不可执行,如果某个程序尝试从被保护的位置运行代码,将会被CPU拒绝同时DEP会关闭程序并通知用户,从而在一定程度上保障用户电脑的安全。

CPU内嵌的防病毒技术以及操作系统的防病毒技术因此在目前来说可能还存在着一些兼容性的问题,例如因应用程序设计的缺陷或驱动程序而导致的误报(特别是一些比较老的驱动程序);另外,对于有些程序来说,是采用实时生成代码方式来执行动态代码的,而生成的代码就有可能位于标记为不可执行的内存区域,这就有可能导致DEP将其检测为非法应用程序而将其关闭。而这些都还有赖于硬件和软件厂商的相互配合解决,当然,这些都是需要的时间。因此,DEP、EDB、EVP等技术都还在向前发展。

(0)

相关推荐

  • GT语音​系统设置.游戏内外互通设置和GT内嵌端说明

    完美gt语音是一款多人语音交流的团队语音通信工具,由完美世界(北京)网络技术有限公司研发,主要面向完美世界旗下游戏,用于游戏内多人语音沟通。 内嵌于游戏中,使用方便,资源占用小,可以为广大游戏用户提供 ...

  • 怎样让电影的外挂字幕变内嵌字幕

    很好奇很多国外大片里怎么会有中文字幕,有时间可以了解一下,这里教你怎样把外挂字幕变为内嵌字幕. 操作方法 01 下载完整的电影资源以及它的字幕包,(电影格式要为mp4,mkv等主流视频格式.字幕包格式 ...

  • 谷歌地图内嵌街景图及photo sphere全景图功能使用方法

    谷歌地图更新了Embed API,用户可以直接在网页中插入街景图及photo sphere全景图,那么具体要怎么操作呢?下面就和小编一起去了解下吧。 日前,谷歌地图更新了Embed API,它将允许用 ...

  • 内嵌式笔记本键盘拆解方法

    一、内嵌式键盘拆解方法。 这种键盘的固定方式多见于DELL商务机型和日系的笔记本中,从机身后面看不见固定螺丝,拆解时要先把键盘上方的压条拆除。 这种压条在机器背后有通常有固定的螺丝。 之后我们就能看见 ...

  • 谷歌拼音什么是内嵌编辑模式?

    内嵌编辑模式是一种所见即所得的编辑模式。谷歌拼音输入法V2(测试版)在保持传统输入体验的同时,给用户一种新的输入体验。

  • MindManager内嵌浏览器无法编辑超链接的Office文档

    在MindManager思维导图中可以运用内嵌浏览器打开超链接的文档,与Office的兼容性使得可以超链接Office文档,但当出现MindManager内嵌浏览器无法编辑超链接的Office文档时该 ...

  • 迅雷影音如何切换内嵌字幕?

    右键-字幕-选择字幕,即可选择需要的内嵌字幕,前提视频文件本身包含内嵌字幕.

  • 微信小程序现开放内嵌网页能力 可关联公众号提升至500个

    微信公众平台昨晚发布消息,称为便于开发者灵活配置小程序,小程序现开放内嵌网页能力,同时可关联公众号提升至500个.开发者登录小程序后台配置业务域名后,即可实现小程序内嵌网页,使用指引如下: 1.开发者 ...

  • ShanaEncoder怎么用?视频内嵌字幕设置工具ShanaEncoder基础使用教程

    ShanaEncoder是一款功能强大.使用简单的视频内嵌字幕工具,有着操作简单.转码迅速的特点非常适用于视频嵌入字幕,那么,ShanaEncoder怎么用呢?接下来就看小编带来的视频内嵌字幕设置工具 ...