公开(公告)号：CN110096871B

公开(公告)日：2021-03-19

申请号：CN201910391660.X

申请日：2019-05-10

申请人： 南京大学

发明人： 曾庆凯 ,  杜震

IPC分类号： G06F21/53

摘要： 一种基于硬件虚拟化的多核环境进程内核栈保护方法，将保护系统嵌入到虚拟机管理器Hypervisor中，对客户机中的进程内核栈提供完整性保护。本方法在多核环境中，对任意进程的内核栈区域整体提供实时的完整性保护。本方法的保护对象不再局限于部分安全敏感的数据，而是保护进程内核栈上的所有数据内容，包括内核栈上的控制数据和非控制数据；保护方法适用于多核环境，单核环境下也是有效的。本方法不仅可防御来自于进程本地处理器的恶意攻击，而且可以防御来自其它处理器的恶意攻击，防御能力更加全面。此外，本方法的保护机制是连续和实时的，不存在保护间隙，可有效增强系统的安全性。

公开(公告)号：CN106599695B

公开(公告)日：2019-07-09

申请号：CN201610393789.0

申请日：2016-06-03

申请人： 南京大学

发明人： 曾庆凯 ,  聂凌

IPC分类号： G06F21/57 ,  G06F11/36

摘要： 本发明提供了一种基于路径合并的可引导符号执行漏洞检测方法。所述基于路径合并的可引导符号执行漏洞检测方法包括如下步骤：a、对目标程序进行扫描和解析，获得与漏洞相关的程序控制流，并标记路径合并范围；b、在符号执行过程中，根据获得的所述程序控制流信息对标记的范围进行摘要收集；c、在符号执行过程中，遇到已摘要程序片段，直接重用摘要，从而消除冗余探索，并将与漏洞无关的程序路径剪枝。本发明的有益效果在于：所述基于路径合并的可引导符号执行漏洞检测方法可以消除冗余路径探索，使符号执行的效率、漏洞检测的精度得到提高，从而实现更加精确、高效的漏洞检测。

公开(公告)号：CN106372501B

公开(公告)日：2019-03-26

申请号：CN201610706067.6

申请日：2016-08-22

申请人： 南京大学

发明人： 曾庆凯 ,  唐维华

IPC分类号： G06F21/54

摘要： 本发明提供一种针对ROP攻击的防御方法，所述方法包括：接收动态插桩框架发来的基本块，所述基本块由所述动态插桩框架从受保护程序的原始代码中提取得到；判断所述基本块是否为函数的返回目标，当所述基本块为函数的返回目标时，对所述基本块进行插桩处理；分析经过插桩处理的基本块的类型，并根据分析结果对所述经过插桩处理的基本块再次进行插桩处理，得到插桩基本块；将所述插桩基本块发送至所述动态插桩框架。本发明提供的一种针对ROP攻击的防御方法，能够无需在运行时重复进行复杂的保存和恢复操作，从而提高防御的效率。

公开(公告)号：CN107479946A

公开(公告)日：2017-12-15

申请号：CN201710701884.7

申请日：2017-08-16

申请人： 南京大学

发明人： 曾庆凯 ,  高敬吾

IPC分类号： G06F9/455

CPC分类号： G06F9/45558 ,  G06F2009/45591

摘要： 本发明涉及一种内核模块的交互行为监控方案，利用硬件虚拟化技术的VM Func机制，可以在不陷入虚拟机监控器VMM的情况下完成VMM层EPT页表的切换，减少了陷入到VMM之中的次数；将监控程序放在Guest OS内的地址空间内，使得监控时不必再陷入到VMM之中；去除VMM不必要的虚拟化功能，让Guest OS直接与硬件交互，从而减少不必要的性能开销。本方法减少了系统运行时陷入到VMM中的次数，提升了内核模块的隔离性能，可提高内核的安全性。

公开(公告)号：CN107368742A

公开(公告)日：2017-11-21

申请号：CN201710702166.1

申请日：2017-08-16

申请人： 南京大学

发明人： 曾庆凯 ,  邹振威

IPC分类号： G06F21/56

CPC分类号： G06F21/566

摘要： 本发明公开了基于GCC的细粒度虚函数表劫持攻击防御方法，该种方法包括以下步骤：第一，收集类继承关系和类对应的虚函数表；第二，构建合法目标集合；第三，识别虚函数的调用点并插桩验证函数；第四，运行时生成验证数据；第五，虚函数调用的合法性验证。该种防御方法通过对源程序的中间码表示进行分析，获得较为准确的类的继承关系的情况下，以虚函数调用点的具体的对象类型和所调用的虚函数为依据，为虚函数调用点构造更为精确的合法目标集合，提升了虚函数表劫持攻击防御方法的准确性，同时也保证了防御方法的兼容性和性能。

公开(公告)号：CN103914657B

公开(公告)日：2016-10-19

申请号：CN201410153802.6

申请日：2014-04-16

申请人： 南京大学

发明人： 曾庆凯 ,  董殿靖

IPC分类号： G06F21/56

摘要： 一种基于函数特征的恶意程序检测方法，步骤如下：（1）恶意程序的功能函数选择：通过对恶意程序样本的选取，经反汇编和人工分析，指定与恶意行为紧密关联的函数为功能函数；（2）函数特征的提取：对与恶意行为紧密关联函数的函数体代码进行处理，去除干扰指令，识别条件判断语句、循环语句，转换为其等价的表示形式，作为函数特征；（3）恶意程序特征库的建立：利用恶意程序样本库，将提取到的各恶意程序样本的功能函数的函数特征，建立一个作为恶意程序模型的恶意程序特征库；（4）恶意程序检测：依据恶意程序特征库，对待测程序分析其所有函数的函数特征集合，判断是否与恶意程序特征库中特征模型相一致，以识别待测程序是否恶意程序。

公开(公告)号：CN104794401A

公开(公告)日：2015-07-22

申请号：CN201510179222.9

申请日：2015-04-15

申请人： 南京大学

发明人： 曾庆凯 ,  王悦

IPC分类号： G06F21/57

CPC分类号： G06F21/577 ,  G06F2221/033

摘要： 一种静态分析辅助的符号执行漏洞检测方法，包括轻量级符号执行、图生成、静态分析和符号执行等阶段；轻量级符号执行阶段，使用KLEE符号执行工具以简单的符号化策略在很小的时间开销下对目标程序字节码文件进行符号执行以获得完成链接过程后的完整程序的字节码；图生成阶段，在完整程序的字节码的基础上，通过使用LLVM3.1工具集中的opt工具生成完整程序的函数调用图与各个函数的控制流图；静态分析阶段，以完整程序的函数调用图、各个函数的控制流图以及配置文件作为输入；符号执行阶段，使用有效跳转表与分支打分表辅助漏洞检测符号执行。

公开(公告)号：CN100411344C

公开(公告)日：2008-08-13

申请号：CN200410013961.2

申请日：2004-01-19

申请人： 南京大学

发明人： 曾庆凯 ,  时静艳

IPC分类号： H04L12/22 ,  H04L12/24

摘要： 一种抗拒绝服务攻击的Web服务器服务调度和负载控制方法，包括以下步骤：(1)启动监控功能开始系统状态监控；(2)接受网络服务请求；(3)对服务请求进行特征采集；(4)若系统处于非正常状态，则转到步骤7；(5)进行正常网络服务处理；(6)若系统继续运行，则转到步骤2，否则转到步骤9；(7)根据系统状态与用户服务请求特征进行用户类型分析；(8)根据用户类型进行调度服务；转到步骤6；(9)停止系统状态监控功能；(10)结束。本发明增强Web服务器对拒绝服务攻击的识别和防护能力。

公开(公告)号：CN1866877A

公开(公告)日：2006-11-22

申请号：CN200610085386.6

申请日：2006-06-13

申请人： 南京大学

发明人： 曾庆凯

IPC分类号： H04L12/24 ,  H04L12/26

摘要： 基于关系数据库的安全保证评估流程控制方法，(1)信息技术产品安全保证组件评估流程导入；输入评估流程需要的操作和选择，评估流程存放于组件评估流程与结果表；组件评估流程表包含组件评估流及其评估过程和结果，对安全组件的评估，要查询组件动作表、动作单元表；评估结果被存入组件评估流程表；(2)从评估流程中取出待评估保证组件；从组件流程表顺序选取一个依赖层级为0的组件；处理状态标志包括评估结果；(3)控制对安全保证组件的进行评估；(4)调整评估流程的组件序列；(5)根据评估结果和评估模式决定是否继续评估流程。

公开(公告)号：CN1760864A

公开(公告)日：2006-04-19

申请号：CN200510094622.6

申请日：2005-09-30

申请人： 南京大学

发明人： 曾庆凯

IPC分类号： G06F17/30

摘要： 基于关系数据库信息技术产品的保护轮廓完整性检查方法，包括以下步骤：(1)被评估的保护轮廓输入；在输入保护轮廓时，以输入数据项为单位逐项录入，并存放在内存中的数据表中；(2)对保护轮廓进行规格化结构化处理；并存入各数据库表中。按照内容分别将内存中数据项集合存入各自的数据库表；(3)对安全目的进行完整性检查；通过比照威胁策略映射表，验证保护轮廓中的安全目的是否完全；(4)对安全需求进行完整性检查；安全需求的验证处理。通过比照安全目的映射表，验证保护轮廓中的安全需求是否完全；(5)形成验证检查报告；(6)结束。本发明提高了安全评估设备的评估效率，规范评估过程。