在云计算技术广泛应用的同时,云环境的安全也面临着诸多挑战。其中,代码复用攻击是一种应用普遍、危害巨大的攻击方式。通过代码复用攻击,攻击者能劫持云环境中的服务器和应用,这给云服务商和用户带来了巨大威胁。基于程序中的信息流进行分析和检测,是目前对于代码复用攻击的常见防御方法。其中,基于控制流的防御方法主要通过保护程序中的控制流转移进行防御,而基于数据流的防御方法则通过保护代码指针的完整性和阻止攻击者进行内存揭露(memory disclosure)两种方式进行防御。然而,现有方法虽然具有一定的防御效果,但存在着不能提供完善保护,性能开销过大的问题,因此并不能为云环境中的服务器和应用提供有效且实用的保护。云环境信息流分析与攻击防御系统IFAADS(Information Flow Analysis and Attack Defense System)针对代码复用攻击的特点,在内存揭露阶段防御代码复用攻击。内存揭露必须利用程序中的代码页或代码指针,它包括两种类型:基于读取的内存揭露和基于执行的内存揭露。为了阻止不同类型的内存揭露,IFAADS系统基于数据流和控制流两类信息流进行了综合性的分析和检测,并利用隔离区机制保护程序中的代码页和代码指针。在编译阶段,IFAADS系统对程序进行分析,为利用隔离区保护代码页和代码指针提供必要信息,并对程序和共享库进行修改,使它们能够支持隔离区机制;在运行阶段,IFAADS系统对程序中的数据流和控制流进行检测,利用隔离区保护程序中的代码页和代码指针,阻止攻击者进行内存揭露。IFAADS系统利用了x86-64平台上高效的Intel MPX(Memory Protection Extension)指令,并对检测指令进行了优化,减少了性能开销。在IFAADS系统的保护下,攻击者无法通过内存揭露获取攻击所需的代码片段(gadget)。因此,IFAADS系统能有效防御代码复用攻击,保护云环境中的服务器和应用。测试结果表明,IFAADS系统能够有效阻止基于读取的内存揭露和基于执行的内存揭露并防御代码复用攻击,并且在SPEC CPU2006基准测试集上仅引入5.8%的平均性能开销。与现有方法相比,IFAADS系统能够在提供完善保护的同时,仅引入较小的性能开销。