DCFI-Checker：利用性能监控计数器检测内核动态控制流完整性

"DCFI-Checker是利用性能监视计数器检查内核动态控制流完整性的研究论文。通过这种方法，可以在不引入额外附加成本的情况下，检测动态控制流的完整性，从而应对由于其动态和易变性带来的验证挑战。" 在计算机安全领域，动态控制流完整性（Dynamic Control Flow Integrity, DCFI）是一种重要的防护机制，它确保程序执行的路径不会被恶意篡改，以防止诸如代码注入等攻击。传统的DCFI方法通常通过在每个控制转移处插入特定的附件（如钩子或标签）来实现，但这会带来性能损失，并可能需要对附件进行独特或受限的修改。 这篇研究论文提出了一个新的解决方案——DCFI-Checker，它利用处理器中的性能监视计数器（Performance Monitoring Counter,PMC）来无附加地检测动态控制流的完整性。性能监视计数器是硬件中用于监控处理器执行行为的计数器，例如分支指令的执行次数。DCFI-Checker的核心思想是，如果控制流被破坏，那么执行的分支指令数量将异常增加，因为攻击者可能会迫使程序执行原本不应执行的分支。 论文中，作者SHIWenchang、ZHOUHongwei、YUANJinhui、LIANGBin等首先分析了控制流被破坏时导致的异常现象，即分支指令执行计数的增加。然后，他们设计了一种算法，该算法持续监控 PMC 的计数值，并通过比较预期的分支执行与实际执行的差异来识别潜在的控制流篡改。这种方法的优点在于，它不需要对内核代码进行修改，因此避免了传统方法可能引入的性能开销和兼容性问题。 为了验证DCFI-Checker的有效性，论文中可能包括了实验部分，作者们可能实施了各种攻击场景并对结果进行了分析。实验结果可能会展示DCFI-Checker在检测控制流完整性方面的准确性和效率，以及在保持系统性能方面的优势。 DCFI-Checker为动态控制流完整性提供了一种创新的、基于性能监视计数器的检测策略，这不仅有助于提升系统的安全性，而且在不牺牲系统性能的前提下，为内核保护提供了新的思路。这种方法对于理解现代操作系统安全和硬件辅助的防御技术具有重要的理论与实践意义。