[论文解读] SIGDROP: Signature-based ROP Detection using Hardware Performance Counters

Xueyang Wang, Jerry Backer|arXiv (Cornell University)|Sep 9, 2016

Security and Verification in Computing参考文献 15被引用 19

一句话总结

SIGDROP 是一种低开销、基于硬件的ROP检测机制，利用通用处理器的硬件性能计数器（HPCs）检测返回导向编程（ROP）攻击，通过识别硬件事件计数中的独特模式——特别是高返回预测错误率和频繁出现的短小指令序列——实现有效检测。其平均性能开销仅为4.67%，存储成本可忽略不计，且无需源代码、二进制修改或硬件变更。

ABSTRACT

Return-Oriented Programming (ROP) is a software exploit for system compromise. By chaining short instruction sequences from existing code pieces, ROP can bypass static code-integrity checking approaches and non-executable page protections. Existing defenses either require access to source code or binary, a customized compiler or hardware modifications, or suffer from high performance and storage overhead. In this work, we propose SIGDROP, a low-cost approach for ROP detection which uses low-level properties inherent to ROP attacks. Specifically, we observe special patterns of certain hardware events when a ROP attack occurs during program execution. Such hardware event-based patterns form signatures to flag ROP attacks at runtime. SIGDROP leverages Hardware Performance Counters, which are already present in commodity processors, to efficiently capture and extract the signatures. Our evaluation demonstrates that SIGDROP can effectively detect ROP attacks with acceptable performance overhead and negligible storage overhead.

研究动机与目标

• 解决现有 ROP 检测机制的局限性，例如高性能与存储开销、对源代码的依赖，或需要硬件修改。
• 识别 ROP 攻击的底层、固有的运行时特性，可在不修改软件或硬件的前提下用于检测。
• 设计一种可在通用平台（包括嵌入式系统）上跨平台运行的、高效且实用的 ROP 检测解决方案。
• 在保持 ROP 指令流强检测准确率的同时，最大限度降低性能与存储开销。
• 仅利用现有硬件特性——特别是硬件性能计数器——实现实时检测，无需二进制插桩或自定义编译器支持。

提出的方法

• SIGDROP 在程序执行期间监控与返回指令执行和分支预测事件相关的特定硬件性能计数器（HPCs）。
• 基于短链式序列中每个小工具的指令计数分布以及返回预测错误的频率，提取运行时签名。
• 采用基于阈值的检测机制：若单个监控周期内返回预测错误次数超过预设阈值 $T_M$，或短小工具数量超过阈值 $T_I$，则标记为潜在 ROP 攻击。
• 检测逻辑基于 ROP 的两个内在特性：(1) 短小工具（每个工具仅含少量指令）的高频率出现；(2) 由于返回目标预测错误而导致的频繁返回预测错误。
• SIGDROP 在运行时工作，无需修改二进制或源代码，仅依赖 HPC 采样与阈值比较。
• 其在 Linux 上实现为轻量级运行时模块，通过与内核接口收集 HPC 数据，并在匹配签名时通知可信模块。

实验结果

研究问题

• RQ1 是否可以仅利用低层次硬件性能计数器事件，在无需源代码或二进制插桩的情况下可靠检测 ROP 攻击？
• RQ2 在 ROP 执行期间，哪些特定的硬件事件模式会持续出现，可作为运行时检测的签名？
• RQ3 基于签名的检测机制，若使用通用 HPCs，是否能实现低性能与存储开销，同时保持高检测准确率？
• RQ4 SIGDROP 的性能开销与现有的 CFI 及基于二进制插桩的 ROP 检测方案相比如何？
• RQ5 SIGDROP 在无需硬件或软件修改的前提下，其在不同处理器架构（如 Intel、AMD、ARM）上的可移植性如何？

主要发现

• SIGDROP 通过识别硬件性能计数器事件中的特征模式（特别是返回预测错误与短小工具序列）实现对 ROP 攻击的高精度检测。
• SIGDROP 的平均性能开销在 integer SPEC CPU 2006 基准测试中仅为 4.67%，显著低于 ROPDefender 的 2.17 倍开销。
• 存储开销可忽略不计——每监控一个进程仅需 3 字节来存储事件计数与阈值，每个阈值仅需 1 字节。
• SIGDROP 在通用平台（包括台式机、笔记本和嵌入式系统）上完全可移植，因其依赖广泛可用的 HPCs。
• 该方法无需源代码、二进制重写或硬件修改，使其在现有系统上实际部署成为可能。
• 检测机制对信息泄露和 JIT ROP 攻击具有鲁棒性，因其依赖于内在运行时行为，而非内存布局假设。