JIT引擎的安全性研究以及保護工具的設計與實現(xiàn).pdf

1、實時編譯執(zhí)行（Just-In-Time execution，后文簡稱為JIT）可以大大提高代碼執(zhí)行效率，其應用非常廣泛，絕大部分瀏覽器，tamarin, Java, Python, Ruby等都采用JIT技術。為了達到較高的執(zhí)行效率，JIT引擎直接分配具有RWX（readable, writable and executable,讀寫可執(zhí)行）權限的內(nèi)存到可預期的偏移，違背了DEP(data execution prevention)和A

2、SLR(address space layout randomization)安全措施。
　　本文的調查發(fā)現(xiàn)大多數(shù)JIT引擎沒有任何基于安全性的考慮，只有很少一部分JIT引擎提供了一些保護措施，而且這些措施對未來攻擊的作用還具有不確定性。因此開發(fā)一款應用于多種JIT引擎，防止攻擊者以JIT引擎為跳板繞過DEP，ASLR的保護，就是本文的研究意義所在。論文的主要內(nèi)容包括：
　　1.本文首先對應用廣泛的JIT引擎的安全性進行了研

3、究，分析得出JIT引擎的主要安全隱患為：直接分配具有RWX權限內(nèi)存到可預期的偏移位置；
　　2.分析了常見的基于JIT引擎進行的攻擊模式，分析了工作原理，以及防范方法，并編寫了針對JIT引擎的攻擊測試樣本；
　　3.分析了現(xiàn)有的JIT引擎保護工具，針對現(xiàn)有工具的不足，設計和實現(xiàn)了一種JIT保護工具，在無需修改JIT引擎源碼的情況下，在系統(tǒng)開銷可接受范圍內(nèi)使JIT引擎免受現(xiàn)在基于JIT引擎的多種攻擊，并在工具中加入了針對將來有