搜索

[15677] 2020-08-01_恶意ELF二进制文件相似度比较及可视化

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-01_恶意ELF二进制文件相似度比较及可视化 恶 意 E L F 二 进 制 文 件 相 似 度 比 较 及 可 视 化 原 创   F r e e A C h a o   F r e e B u f   2 0 2 0 - 0 8 - 0 1 二 进 制 文 件 相 似 度 比 较 是 检 测 恶 意 软 件 的 重 要 途 径 ， 利 用 待 检 测 软 件 与 系 统 中 已 收 集 的 恶 意 软 件 的 相 似 度 大 小 ， 来 判 定 其 是 否 为 恶 意 软 件 。 本 文 介 绍 两 种 可 视 化 的 方 式 ， 分 别 来 说 明 恶 意 E L F 文 件 的 相 似 度 关 系 。 一 、 引 言 一 、 引 言 此 前 笔 者 曾 发 表 两 篇 关 于 蜜 罐 的 文 章 ， 在 文 章 中 提 到 蜜 罐 每 天 都 会 收 到 恶 意 样 本 ， 例 如 《 C o w r i e 蜜 罐 的 D o c k e r 部 署 过 程 及 E l a s t i c s e a r c h + K i b a n a 可 视 化 》 文 章 中 部 署 的 系 统 ， 通 过 其 日 志 可 以 看 到 相 应 下 载 或 上 传 恶 意 样 本 的 过 程 。 图 1 .   S S H 蜜 罐 c o w r i e 收 到 的 恶 意 样 本 在 收 到 大 量 的 样 本 之 后 ， 需 要 进 行 分 析 来 识 别 样 本 的 具 体 工 作 流 程 ， 但 在 数 量 少 的 情 况 下 ， 还 能 利 用 I D A   p r o 来 进 行 手 动 分 析 ， 但 是 数 量 多 了 之 后 ， 就 希 望 能 够 将 分 析 的 过 程 自 动 化 。 每 天 都 有 大 量 的 恶 意 软 件 出 现 ， 而 恶 意 软 件 编 写 者 会 倾 向 于 复 用 之 前 的 代 码 ， 例 如 经 典 的 僵 尸 网 络 代 码 m i r a i 、 b a s h l i t e 等 ， 通 过 修 改 c n c 地 址 ， 或 者 增 加 一 些 最 新 的 漏 洞 利 用 代 码 ， 但 整 体 上 恶 意 代 码 的 执 行 流 程 是 大 致 相 同 的 。 在 恶 意 软 件 例 如 病 毒 、 木 马 、 蠕 虫 等 检 测 过 程 中 ， 大 致 分 为 两 种 方 式 ： 基 于 指 纹 的 检 测 方 式 和 基 于 行 为 的 检 测 方 式 [ 1 ] 。 基 于 指 纹 的 方 式 ， 是 将 某 个 恶 意 软 件 与 已 有 的 指 纹 库 进 行 对 比 ， 如 果 有 符 合 特 征 的 ， 则 认 定 该 软 件 为 恶 意 软 件 ； 这 种 方 式 倾 向 于 识 别 已 经 在 指 纹 库 中 已 经 存 在 的 恶 意 软 件 。 这 种 方 式 就 是 利 用 相 似 度 的 方 式 ， 来 比 较 新 的 样 本 与 已 有 样 本 。 如 果 相 似 度 高 ， 则 判 定 为 恶 意 样 本 。 本 文 就 来 探 索 利 用 相 似 度 来 分 析 恶 意 样 本 的 研 究 探 索 利 用 相 似 度 来 分 析 恶 意 样 本 的 研 究 过 程 。 为 了 能 够 利 用 更 多 的 样 本 来 查 看 查 看 整 体 的 相 似 度 结 果 （ 数 量 越 多 ， 出 现 具 有 相 似 度 的 样 本 对 越 多 ） ， 笔 者 开 发 了 一 个 自 动 化 爬 取 恶 意 样 本 并 展 示 相 似 度 的 W e b 应 用 ， 同 时 在 从 符 号 表 的 角 度 介 绍 细 粒 度 的 恶 意 软 件 相 似 度 。 自 动 化 抓 取 恶 意 软 件 的 应 用 代 码 已 上 传 至 g i t h u b ， 有 兴 趣 的 读 者 可 以 按 照 文 章 的 第 四 小 节 在 自 己 的 机 器 上 部 署 。 本 文 的 内 容 如 下 ： 通 过 s s d e e p 来 分 析 恶 意 软 件 相 似 度 ， 并 利 用 e c h a r t s 进 行 可 视 化 利 用 n e o 4 j 来 分 析 细 粒 度 的 恶 意 软 件 相 似 度 介 绍 文 中 使 用 的 恶 意 软 件 自 动 化 获 取 系 统
本 文 大 部 分 是 结 论 性 的 内 容 ， 介 绍 笔 者 在 初 步 展 开 二 进 制 相 似 度 研 究 中 的 实 践 与 总 结 ， 阐 述 在 研 究 过 程 中 使 用 本 文 大 部 分 是 结 论 性 的 内 容 ， 介 绍 笔 者 在 初 步 展 开 二 进 制 相 似 度 研 究 中 的 实 践 与 总 结 ， 阐 述 在 研 究 过 程 中 使 用 的 思 路 。 在 研 究 过 程 中 ， 笔 者 对 的 思 路 。 在 研 究 过 程 中 ， 笔 者 对 L i n u x 下 的 样 本 更 感 兴 趣 ， 所 以 本 次 主 要 分 析 下 的 样 本 更 感 兴 趣 ， 所 以 本 次 主 要 分 析 E L F 二 进 制 文 件 ， 在 恶 意 样 本 下 二 进 制 文 件 ， 在 恶 意 样 本 下 载 过 程 中 ， 会 直 接 过 滤 掉 一 些 非 载 过 程 中 ， 会 直 接 过 滤 掉 一 些 非 E L F 的 文 件 。 的 文 件 。 二 、 二 、 s s d e e p 分 析 相 似 度 分 析 相 似 度 2 . 1   E L F 样 本 展 示 样 本 展 示 本 文 中 所 关 注 的 样 本 ， 大 多 数 为 僵 尸 网 络 样 本 ， 而 且 塔 门 普 遍 会 生 成 多 种 系 统 架 构 的 样 本 ， 以 便 适 用 于 不 同 架 构 的 设 备 ， 图 2 中 展 示 了 一 个 名 为 y a k u z a 的 样 本 。 图 2 .   y a k a z u 样 本 随 机 取 一 个 文 件 的 s h a 2 5 6 在 v i r u s t o t a l 进 行 分 析 ， 可 以 看 到 其 在 多 个 引 擎 中 被 标 记 为 g a f g y t 的 变 种 ， 又 名 b a s h l i t e [ 5 ] ， 在 g i t h u b 上 可 以 找 到 相 应 的 源 码 。 图 3 .   某 y a k u z a 样 本 的 分 析 结 果
本 文 的 研 究 就 是 基 于 这 些 恶 意 样 本 展 开 。 2 . 2   s s d e e p 的 力 导 向 图 关 系 表 示 的 力 导 向 图 关 系 表 示 传 统 的 方 法 主 要 使 用 m d 5 ， s h a 2 5 6 等 方 式 来 计 算 指 纹 ， 这 种 指 纹 对 数 据 修 改 较 为 敏 感 ， 即 使 修 改 了 文 件 的 一 个 字 节 ， 也 会 引 起 整 个 指 纹 的 大 面 积 变 化 。 在 文 章 M o d S e c u r i t y 技 巧 ： 使 用 s s d e e p 检 测 W e b s h e l l [ 2 ] 中 ， 采 用 的 s s d e e p 的 数 值 来 进 行 比 较 ， 这 种 方 法 对 文 件 局 部 的 修 改 不 敏 感 ， 利 用 分 段 h a s h 来 计 算 文 件 的 指 纹 ； 文 章 T h r e a t   A t t r i b u t i o n   u s i n g   s s d e e p [ 3 ] 中 以 修 改 C 源 代 码 为 例 ， 说 明 了 s s d e e p 进 行 二 进 制 相 似 度 比 较 的 过 程 。 按 照 这 个 思 路 ， 本 文 同 样 利 用 s s d e e p 来 说 明 恶 意 软 件 相 似 度 比 较 的 过 程 。 s s d e e p 的 比 较 过 程 很 简 单 ， 编 程 过 程 中 只 需 要 安 装 s s d e e p 即 可 ， 本 文 使 用 p y t h o n 语 言 进 行 编 程 。 使 用 过 程 中 ， s s d e e p 在 对 比 两 个 恶 意 软 件 的 相 似 度 时 ， 会 生 成 一 个 相 似 度 数 值 ； 为 了 更 直 观 的 感 受 相 似 度 的 关 系 ， 采 用 e c h a r t s 的 力 导 向 图 来 绘 制 关 系 。 初 步 研 究 阶 段 ， 只 要 两 个 恶 意 软 件 的 相 似 度 不 为 0 ， 便 在 两 者 之 间 进 行 连 线 。 图 4 .   相 似 关 系 力 导 向 图 在 捕 获 一 定 数 量 的 恶 意 E L F 之 后 ， 对 其 进 行 两 两 s s d e e p 的 计 算 ， 将 其 中 按 相 似 度 大 小 排 序 前 2 0 0 个 关 系 进 行 展 示 ， 如 图 4 所 示 。 图 4 的 具 体 含 义 是 ， 每 个 点 代 表 一 个 E L F 文 件 ， 不 同 颜 色 代 表 不 同 的 架 构 ， 在 图 上 方 标 注 着 相 应 的 颜 色 关 系 。 图 中 显 示 2 9 1 个 样 本 ， 并 非 仅 仅 下 载 了 2 9 1 个 样 本 ， 而 是 显 示 了 相 似 度 大 小 排 序 后 前 2 0 0 个 的 关 系 对 ， 其 中 包 含 了 2 9 1 个 独 立 样 本 。 在 图 4 中 ， 除 了 红 色 圆 圈 标 记 的 地 方 ， 大 部 分 的 相 似 关 系 都 发 生 在 同 颜 色 的 恶 意 软 件 中 ； 但 红 色 圆 圈 中 的 E L F ， 从 颜 色 中 可 以 看 出 分 别 是 P o w e r P C 和 M o t o r o l a   m 6 8 k ， 实 际 上 这 两 款 架 构 也 是 非 常 相 似 的 。 所 以 ， 从 图 中 可 以 得 出 结 论 ： s s d e e p 对 于 相 同 架 构 对 于 相 同 架 构 E L F 是 能 够 检 测 出 相 似 度 的 ； 但 前 文 中 也 说 到 ， 很 多 恶 意 是 能 够 检 测 出 相 似 度 的 ； 但 前 文 中 也 说 到 ， 很 多 恶 意 E L F 文 件 编 写 者 会 同 时 编 译 文 件 编 写 者 会 同 时 编 译 多 种 架 构 的 文 件 ， 多 种 架 构 的 文 件 ， * * 但 即 使 是 同 样 的 代 码 ， 不 同 架 构 的 E L F 是 没 有 相 似 度 可 言 的 * * 。
图 5 .   工 作 任 务 列 表 在 经 过 一 下 午 的 持 续 工 作 ， 捕 获 样 本 更 多 。 图 6 .   下 载 多 个 文 件 后 的 关 系 情 况 从 图 6 中 可 以 看 出 没 有 连 线 的 点 越 来 越 少 了 ， 而 且 此 时 图 片 中 的 相 似 关 系 更 为 复 杂 （ 例 如 红 色 方 框 圈 出 的 部 分 ） 。 在 悬 停 鼠 标 在 节 点 上 之 后 ， 可 以 看 到 此 时 有 很 多 同 名 的 E L F 被 连 接 在 一 起 。 这 并 非 是 说 两 者 是 同 一 个 文 件 ， 因 为 在 自 动 化 下 载 软 件 过 程 中 ， 是 按 照 E L F 文 件 的 s h a 2 5 6 作 为 文 件 名 字 进 行 保 存 ， 因 此 不 存 在 说 两 者 是 一 个 文 件 。 为 了 说 明 这 个 问 题 ， 将 上 述 样 本 的 样 本 名 字 去 除 架 构 名 字 之 后 ， 绘 制 图 云 如 图 7 所 示 。
图 7 .   恶 意 E L F 名 字 图 8 .   数 据 库 中 的 同 名 文 件 （ 第 一 栏 为 s h a 2 5 6 值 ） 图 7 中 大 的 字 体 说 明 这 个 文 件 名 字 出 现 次 数 更 多 ， 图 8 中 是 某 个 E L F 的 数 据 库 记 录 ， 也 从 侧 面 证 明 了 并 非 同 一 文 件 。 2 . 3   小 结 小 结 利 用 s s d e e p 作 为 指 纹 计 算 方 式 ， 能 够 容 忍 E L F 中 小 部 分 的 修 改 ， 使 E L F 文 件 能 够 得 到 相 似 度 的 比 较 ； 但 从 力 导 向 图 中 可 以 看 出 ， 节 点 在 连 接 在 一 起 时 ， 均 为 同 架 构 的 E L F ， 不 同 架 构 的 E L F 无 法 连 接 在 一 起 （ p o w e r p c 和 M o t o r o l a   m 6 8 k 是 例 外 ） 。 三 、 三 、 n e o 4 j 分 析 细 粒 度 相 似 度 分 析 细 粒 度 相 似 度 前 文 中 ， 利 用 s s d e e p 对 E L F 的 相 似 度 进 行 了 分 析 ， 但 采 用 s s d e e p 的 方 法 ， 有 两 个 问 题 ： 一 方 面 粒 度 比 较 粗 ， 只 能 得 出 两 个 E L F 是 相 似 的 结 论 ， 但 是 不 知 道 他 们 在 什 么 内 容 上 是 相 似 的 ； 另 外 一 个 方 面 ， 就 是 前 文 提 到 的 ， 不 同 架 构 的 E L F 没 有 相 似 度 可 言 。 但 日 常 分 析 的 过 程 中 ， 不 仅 仅 需 要 多 少 相 似 度 ， 同 样 也 需 要 为 什 么 相 似 ， 什 么 地 方 相 似 需 要 为 什 么 相 似 ， 什 么 地 方 相 似 。 文 章 r e v e a l i n g - m a l w a r e - r e l a t i o n s h i p s - w i t h - g r a p h d b [ 4 ] 通 过 提 取 P E 文 件 的 文 件 信 息 ， 例 如 软 件 编 译 时 间 ， 导 入 的 链 接 库 ， 使 用 的 函 数 等 内 容 ， 然 后 利 用 图 数 据 库 图 数 据 库 来 展 示 他 们 的 关 系 ， 是 可 以 借 鉴 的 思 路 。 但 原 文 中 比 较 的 对 象 是 P E 文 件 ， 对 于 本 文 中 使 用 的 E L F 文 件 来 说 ， 可 以 使 用 符 号 表 中 的 信 息 作 为 图 数 据 库 的 节 点 使 用 符 号 表 中 的 信 息 作 为 图 数 据 库 的 节 点 。 但 一 般 恶 意 软 件 编 写 者 都 会 去 除 符 号 表 ， 那 么 函 数 表 等 信 息 都 很 难 还 原 。 为 了 降 低 难 度 ， 本 文 首 先 考 虑 符 号 表 没 有 被 去 除 为 了 降 低 难 度 ， 本 文 首 先 考 虑 符 号 表 没 有 被 去 除 ( n o t   s t r i p p e d ) 的 的 E L F ， ， 利 用 图 数 据 库 来 展 示 其 细 粒 度 的 关 系 。 利 用 图 数 据 库 来 展 示 其 细 粒 度 的 关 系 。 相 比 与 传 统 的 关 系 数 据 库 ， 图 数 据 库 将 数 据 之 间 的 关 系 作 为 关 注 重 点 ， 这 样 的 好 处 是 在 深 度 关 联 查 询 过 程 中 ， 速 度 更 快 ， 在 n e o 4 j 发 布 的 电 子 书 中 [ 6 ] ， 将 图 数 据 库 的 查 询 速 度 与 传 统 关 系 数 据 库 进 行 了 对 比 ， 可 以 看 到 非 常 明 显 的 性 能 提 升 。 本 小 节 将 利 用 n e o 4 j 这 款 图 数 据 库 来 展 示 节 点 关 系 ， 关 于 n e o 4 j 的 部 署 及 本 文 相 关 的 代 码 ， 请 看 后 面 部 署 部 分 。 3 . 1   提 取 符 号 表 提 取 符 号 表 符 号 表 是 E L F 保 存 了 程 序 实 现 或 使 用 的 所 有 全 局 变 量 和 函 数 等 信 息 ， 在 分 析 细 粒 度 的 过 程 中 ， 利 用 命 令 r e a d e l f 来 提 取 E L F 的 符 号 表 。 r e a d e l f   - s   s o m e _ m a l w a r e
图 9 .   某 个 E L F 文 件 （ n o t   s t r i p p e d ) 的 符 号 表 信 息 从 图 中 可 以 看 出 ， 符 号 表 中 包 含 了 文 件 ， 函 数 ， 变 量 等 信 息 ， 本 次 实 验 中 ， 使 用 函 数 和 文 件 信 息 作 为 关 系 查 询 。 3 . 2   利 用 利 用 y a k u z a 样 本 说 明 函 数 及 文 件 关 系 样 本 说 明 函 数 及 文 件 关 系 在 使 用 图 数 据 库 的 过 程 中 ， 有 很 多 内 容 可 以 定 义 ， 例 如 一 个 节 点 的 标 签 ， 属 性 等 ， 这 里 不 深 入 说 明 图 数 据 库 的 使 用 方 法 ， 仅 介 绍 与 本 文 实 验 中 使 用 的 方 式 ， 有 兴 趣 的 读 者 可 以 自 己 定 制 自 己 的 关 系 库 。 1 .   首 先 ， 明 确 定 义 一 个 节 点 可 以 是 一 个 E L F 文 件 、 一 个 函 数 、 一 个 文 件 ， 在 编 程 过 程 中 ， 创 建 一 个 需 要 传 递 标 签 （ l a b e l ） ， 名 字 （ n a m e ） 两 个 参 数 。 2 .   然 后 ， 实 验 过 程 中 采 用 两 种 关 系 ， 分 别 是 ， 是 否 包 含 某 个 文 件 （ f i l e 关 系 ） ， 是 否 包 含 某 个 函 数 ( f u n c 关 系 ） 为 了 能 够 展 示 关 系 图 ， 将 前 文 提 到 的 y a k u z a 的 E L F 文 件 ， 选 取 其 中 同 一 个 I P 下 的 多 个 架 构 的 文 件 。 注 意 ， 以 下 图 中 的 节 点 对 于 函 数 节 点 和 文 件 节 点 的 数 量 均 有 限 制 ， 并 非 这 些 文 件 只 有 这 些 文 件 或 函 数 。
图 1 0 .   y a k u z a 函 数 关 系 示 意 图 （ 节 点 位 置 为 手 动 调 整 ， 非 数 据 库 自 动 绘 制 ） 图 1 0 中 ， 紫 色 圆 圈 代 表 着 某 个 函 数 ， 深 绿 色 的 直 线 代 表 着 某 个 E L F 文 件 包 含 了 此 函 数 ， 其 他 颜 色 节 点 分 别 代 表 着 不 同 架 构 的 E L F ， 具 体 图 例 在 上 方 说 明 。 从 图 1 0 中 的 函 数 关 系 可 以 看 出 ， 除 了 g e t r l i m i t 6 4 这 个 函 数 ， 其 他 的 几 个 函 数 均 被 这 8 个 E L F 共 享 ， g e t r l i m i t 6 4 应 该 是 x 8 6 - 6 4 架 构 下 的 某 个 函 数 。 下 面 来 看 文 件 关 系 。 图 1 1 .   y a k u z a 文 件 关 系 示 意 图 （ 节 点 位 置 为 手 动 调 整 ， 非 数 据 库 自 动 绘 制 ） 从 图 1 1 的 y a k u z a 的 文 件 关 系 中 可 以 看 到 ， 8 个 文 件 共 享 了 y a k u z a . c 这 个 文 件 ， 毕 竟 他 们 是 同 样 的 源 代 码 编 译 出 来 的 ， 只
是 不 同 架 构 而 已 。 但 在 前 一 小 节 中 ， 利 用 s s d e e p 的 方 式 中 ， 无 法 发 现 不 同 架 构 的 文 件 存 在 相 似 度 。 从 这 个 角 度 而 言 ， 利 用 图 数 据 库 的 方 式 ， 可 以 找 出 E L F 文 件 （ 未 剥 离 符 号 表 的 情 况 下 ） 他 们 共 享 的 函 数 ， 以 及 文 件 ， 在 后 面 的 研 究 中 ， 可 以 通 过 一 定 的 算 法 来 计 算 相 似 度 ， 而 且 能 够 说 明 这 些 软 件 在 什 么 地 方 是 相 似 的 。 3 . 3   小 节 小 节 本 小 节 利 用 图 数 据 库 来 展 示 了 跨 平 台 的 E L F （ 带 有 符 号 表 ） 的 细 粒 度 关 系 ， 信 息 包 括 文 件 ， 函 数 。 但 这 种 方 法 存 在 一 定 的 局 限 性 ， 即 必 须 能 够 提 取 相 应 的 符 号 表 信 息 。 四 、 恶 意 四 、 恶 意 E L F 自 动 化 获 取 系 统 及 图 数 据 库 的 搭 建 自 动 化 获 取 系 统 及 图 数 据 库 的 搭 建 源 码 地 址 ： 源 码 地 址 ： e l f _ s i m i l a r i t y 4 . 1   E L F 自 动 获 取 自 动 获 取 本 应 用 使 用 p y t h o n 3 + d j a n g o   2 . 2 . 1 4 开 发 ， 使 用 g e n t e l e l l a ， 一 款 开 源 b o o t s t r a p 4   D a s h b o a r d 模 板 作 为 前 端 来 展 示 数 据 。 利 用 d o c k e r 来 分 别 部 署 w e b 应 用 和 m y s q l 数 据 库 ， 采 用 d o c k e r 部 署 的 方 式 可 以 帮 助 读 者 快 速 搭 建 系 统 。 该 w e b 应 用 将 采 用 定 时 任 务 的 方 式 ， 定 期 爬 取 两 个 u r l 源 ， 分 别 是 h t t p s : / / u r l h a u s . a b u s e . c h / d o w n l o a d s / c s v _ o n l i n e /   每 5 分 钟 更 新 一 次 在 线 的 E L F h t t p s : / / o s i n t . d i g i t a l s i d e . i t / T h r e a t - I n t e l / l i s t s / l a t e s t u r l s . t x t   每 天 更 新 一 次 大 致 的 工 作 流 程 如 下 ： 1 .   获 取 两 个 U R L 源 中 的 E L F   u r l 信 息 ， 并 利 用 h e a d 方 法 请 求 文 件 是 否 还 存 在 ， 添 加 至 u r l 表 中 2 .   从 u r l 中 下 载 可 用 的 文 件 ， 并 检 测 文 件 的 一 些 信 息 ， 例 如 s h a 2 5 6 数 值 ， 文 件 架 构 信 息 ， 添 加 至 d o w n l o a d 表 中 3 .   在 d o w n l o a d 表 中 新 下 载 的 文 件 ， 利 用 s h a 2 5 6 作 为 主 键 插 入 到 b i n a r y 表 中 4 .   计 算 e l f 二 进 制 两 两 之 间 的 s s d e e p 相 似 度 正 常 情 况 下 ， 该 w e b 应 用 定 时 任 务 每 两 个 小 时 进 行 一 些 数 据 爬 取 及 入 库 ， 但 在 w e b 应 用 启 动 之 后 ， 会 强 制 进 行 一 次 ， 来 应 对 没 有 数 据 的 情 况 。 笔 者 在 阿 里 云 的 1 核 2 G 服 务 器 中 测 试 ， 每 次 完 成 一 次 定 时 任 务 大 致 需 要 4 分 钟 。   图 1 2 .   d a s h b o a r d 界 面
关 于 应 用 的 部 署 过 程 ， 将 在 g i t h u b 上 进 行 具 体 说 明 ， 保 证 后 续 的 版 本 更 替 时 部 署 方 法 一 起 变 化 ， 这 里 不 在 赘 述 。 采 用 d o c k e r 化 的 部 署 方 式 ， 构 建 过 程 很 方 便 ， 只 需 要 利 用 d o c k e r 构 建 镜 像 ， 然 后 启 动 容 器 即 可 。 笔 者 并 非 专 业 w e b 开 发 人 员 ， 该 w e b 应 用 只 是 用 来 满 足 平 时 的 需 求 ， 对 这 部 分 内 容 的 学 习 周 期 不 长 ， 开 发 时 间 也 较 短 ， 不 免 存 在 b u g ， 代 码 质 量 以 及 执 行 性 能 未 必 满 足 读 者 需 求 ， 请 不 要 将 应 用 部 署 在 生 产 环 境 下 ， 读 者 可 以 根 据 自 己 的 需 求 进 行 修 改 。 4 . 2   图 数 据 库 的 关 系 展 示 图 数 据 库 的 关 系 展 示 在 第 三 小 节 中 ， 利 用 n e o 4 j 这 款 图 数 据 库 进 行 了 关 系 的 展 示 ， 代 码 同 样 已 经 上 传 至 g i t h u b 上 ， 脚 本 位 于 e l f _ n e o 4 j 文 件 夹 下 。 需 要 说 明 的 是 ， 图 数 据 库 的 关 系 展 示 并 非 前 面 介 绍 的 w e b 应 用 的 内 容 ， 其 展 示 效 果 使 用 n e o 4 j 的 原 生 w e b 进 行 展 示 。 同 样 搭 建 n e o 4 j 的 方 法 也 是 利 用 d o c k e r 。 执 行 命 令 ： 然 后 进 入 h t t p : / / y o u r _ m a c h i n e _ i p : 7 4 7 4 进 行 密 码 的 设 置 ， 之 后 对 p y t h o n 脚 本 中 的 地 址 、 密 码 进 行 设 置 ， 并 将 要 进 行 关 系 提 取 的 E L F 文 件 放 置 到 相 应 的 路 径 （ 需 要 在 代 码 中 进 行 修 改 ） ， 运 行 脚 本 即 可 在 n e o 4 j 的 w e b 界 面 中 查 看 相 应 的 E L F 与 函 数 和 文 件 的 关 系 。 五 、 总 结 五 、 总 结 前 文 介 绍 了 笔 者 在 E L F 二 进 制 文 件 相 似 度 方 面 的 初 步 研 究 过 程 ： 1 ） 为 了 获 取 大 量 的 样 本 ， 开 发 了 一 款 基 于 开 发 了 一 款 基 于 d j a n g o + b o o t s t r a p 4 的 的 w e b 应 用 应 用 ， 通 过 定 时 任 务 的 方 式 来 抓 取 两 个 源 的 U R L 信 息 。 2 ） 在 相 似 度 方 面 ， 利 用 s s d e e p 作 为 粗 粒 度 的 关 系 ， 并 于 开 发 的 w e b 应 用 中 进 行 展 示 ， 从 图 中 可 以 得 出 结 论 ， 不 同 架 构 不 同 架 构 的 的 E L F 文 件 无 法 进 行 相 似 度 的 比 较 文 件 无 法 进 行 相 似 度 的 比 较 。 3 ） 研 究 了 n o t   s t r i p p e d 的 E L F 文 件 基 于 图 数 据 库 的 关 系 展 示 ， 通 过 通 过 n e o 4 j 图 数 据 库 自 带 的 界 面 来 查 看 图 数 据 库 自 带 的 界 面 来 查 看 E L F 文 件 之 间 共 文 件 之 间 共 享 文 件 、 函 数 的 情 况 享 文 件 、 函 数 的 情 况 ， 但 没 有 深 入 研 究 这 种 情 况 下 的 相 似 度 如 何 计 算 。 当 前 的 研 究 内 容 还 比 较 浅 ， 还 有 很 多 值 得 深 入 研 究 的 部 分 ： 前 文 中 也 提 到 在 判 断 e l f 的 函 数 关 系 时 ， 需 要 文 件 的 符 号 表 存 在 ， 但 大 多 数 的 恶 意 E L F 文 件 的 符 号 表 都 被 剥 离 ， 如 何 通 过 其 他 的 方 式 来 关 联 这 种 E L F 文 件 的 细 粒 度 相 似 度 关 系 ； 图 数 据 库 在 本 文 中 只 是 作 为 可 视 化 的 方 式 ， 没 有 进 行 深 层 次 的 挖 掘 ， 等 等 。 后 续 ， 将 深 入 研 究 这 些 问 题 ， 也 希 望 有 兴 趣 的 读 者 一 起 研 究 。 参 考 文 章 参 考 文 章 [ 1 ] T h e   C y b e r S p h e r e   -   A n   A l i b a b a   C l o u d   S e c u r i t y   R e p o r t   |   F e b r u a r y   2 0 1 9 [ 2 ] M o d S e c u r i t y 技 巧 ： 使 用 s s d e e p 检 测 W e b s h e l l [ 3 ] T h r e a t   A t t r i b u t i o n   u s i n g   s s d e e p [ 4 ] r e v e a l i n g - m a l w a r e - r e l a t i o n s h i p s - w i t h - g r a p h d b [ 5 ] B a s h L i t e 僵 尸 网 络 更 新 ， 新 恶 意 功 能 “ 如 虎 添 翼 ” [ 6 ] G r a p h   D a t a b a s e s   f o r   B e g i n n e r s d o c k e r   r u n   - i t   - d   - p   7 6 8 7 : 7 6 8 7   - p   7 4 7 4 : 7 4 7 4   n e o 4 j : 3 . 4
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理