基于帶權(quán)歐氏距離的殼檢測與脫殼技術(shù)的研究.pdf

1、殼的出現(xiàn)，使軟件保護(hù)進(jìn)入了一個新的時代。加殼技術(shù)已廣泛應(yīng)用于軟件保護(hù)，在軟件逆向分析、軟件解密和惡意軟件檢測等過程中，軟件脫殼已成為十分重要的環(huán)節(jié)之一。軟件殼檢測是脫殼的前提，它為后續(xù)的脫殼工作奠定堅實的基礎(chǔ)。目前，較成熟、應(yīng)用廣的殼檢測算法大多基于殼特征，通過建立殼特征庫、查詢特征串來判斷待測文件是否加殼，但這些算法無法檢測特征庫以外的特征串，且易被欺騙。本文重點圍繞軟件殼檢測算法進(jìn)行研究。
　　 首先，介紹了國內(nèi)外PE文件殼

2、檢測、脫殼技術(shù)的現(xiàn)狀及相關(guān)軟件，對這些技術(shù)作了深入的分析；重點探討了可選映像頭、區(qū)塊、輸入表以及資源等其他相關(guān)結(jié)構(gòu)，側(cè)重剖析了PE文件格式。
　　 其次，為了提高檢測率，當(dāng)前的PHAD采用了基于特征向量的殼檢測技術(shù)，但由于PHAD中的特征向量不能充分反映加殼文件的特征，再加上向量中每個元素具有相同的權(quán)重，使得漏報率、誤報率偏高。本文針對這些缺陷，在PHAD的基礎(chǔ)上，采用增加特征向量的元素、優(yōu)序?qū)Ρ确ù_定權(quán)重值以及帶權(quán)歐氏距離計算

3、距離等策略，提出了一種基于帶權(quán)歐氏距離的殼檢測算法。該算法由確定閾值與殼檢測兩個階段組成，這兩個階段執(zhí)行前都要進(jìn)行相應(yīng)的準(zhǔn)備工作，判斷待測文件是否滿足PE文件格式和計算待測文件的NCV向量值。確定閾值階段主要的任務(wù)是確定閾值，同時將該值提供給殼檢測階段；殼檢測階段根據(jù)閾值判斷待測文件是否加殼。實驗結(jié)果表明，該算法的漏報率及誤報率分別是PHAD的1/16與1/8，殼檢測的準(zhǔn)確率提高了近12[％]。
　　 最后，對殼的加載與執(zhí)行過程