本文详细介绍了Windows 10中的执行流保护技术，包括CFI（Control-Flow Integrity）和CFG（Control Flow Guard）。CFI通过在二进制文件中插入校验ID来确保指令流的正确性，而CFG则是编译器和操作系统结合的防护手段，通过记录间接调用信息并在执行时进行校验，防止不可信的间接调用。文章还讨论了电脑管家在XP防护中的执行流保护策略，以及这些技术对性能的影响。
1 背景
微软在2015年1月22日公布了windows10技术预览版，Build号：9926。电脑管家反病毒实验室第一时间对其引入的新安全特性进行了深入分析。
众所周知，漏洞利用过程中攻击者若要执行恶意代码，需要破坏程序原有指令的的正常执行。执行流保护的作用就是在程序执行的过程中检测指令流的正常性，当发生不符合预期的情况时，及时进行异常处理。业界针对执行流保护已经有一些相对成熟的技术方案，在微软发布的windows10最新版本中，我们看到了这一防护思想的广泛使用。
2 CFI
CFI即控制流完整性Control-Flow Integrity，主要是通过对二进制可执行文件的动态改写，以此为其增加额外的安全性保障。
这是Mihai Budiu介绍CFI技术时使用的例子。这里通过对二进制可执行文件的改写，对jmp的目的地址前插入一个在改写时约定好的校验ID，在jmp的时候看目的地址前的数据是不是我们约定好的校验ID，如果不是则进入错误处理流程。
同理在call 和 ret的时候也可以进行改写：
左半部分就是一个对call的改写，右半部分是对ret的一个改写，在call的目的地址和ret的返回地址之前插入校验ID，然后改写的call 和ret中增加了对校验ID的检查，如果不符合预期，进入错误处理流程，这个思路和上边对jmp的处理是完全一样的。
3 CFG
实现CFI需要在jmp、call 一个寄存器（或者使用寄存器间接寻址）的时候，目的地址有时必须通过动态获得&
最低0.47元/天 解锁文章
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
