[發明專利]一種基于圖卷積網絡的源代碼漏洞檢測方法

有效

• 申請號: 202010168037.0
• 申請日: 2020-03-11
• 公開（公告）號: CN111460450B
• 公開（公告）日: 2023-02-10
• 發明（設計）人: 孔維星;葉貴鑫;王煥廷;湯戰勇;房鼎益
• 申請（專利權）人: 西北大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/0464;G06N3/08;G06N20/00
• 代理公司: 西安恒泰知識產權代理事務所 61216
• 代理人: 李鄭建

本發明涉及一種基于圖卷積網絡的源代碼漏洞自動檢測方法，在訓練階段，進行數據獲取和數據預處理，判斷源代碼是否有sink方法調用，對sink方法調用進行數據流分析，構造為代碼屬性圖，計算代碼屬性圖的鄰接矩陣與特征矩陣，給代碼屬性圖加標簽，將代碼屬性圖中的鄰接矩陣和特征矩陣作為圖卷積網絡的輸入，訓練圖卷積網絡，得到訓練好的網絡模型；測試階段進行數據獲取和數據預處理，判斷源代碼是否有sink方法調用，進行數據流分析，構造為代碼屬性圖，計算代碼屬性圖的鄰接矩陣與特征矩陣，輸入訓練好的圖卷積網絡模型，輸出代碼屬性圖的分類結果，表示代碼屬性圖是否有漏洞即對應的sink方法調用是否含有漏洞。

技術領域

本發明屬于計算機網絡安全技術領域，涉及源代碼中的漏洞檢測，具體涉及一種基于圖卷積網絡的源代碼漏洞檢測方法，該方法可以自動對源代碼進行漏洞掃描，判斷源代碼是否含有漏洞，并報告漏洞位置，為后續代碼漏洞自動檢測的研究提供了技術支持。

背景技術

軟件中隱藏的漏洞可能導致安全問題，使攻擊者危害計算機系統和應用程序。每年有數千個這樣的漏洞被公開地報告給公共漏洞和暴露數據庫(CVE)，更多的漏洞在專有代碼中被內部發現并修補。正如從最近許多備受關注的攻擊中所看到的，如HeartBleedBug、Wannacry勒索軟件密碼蠕蟲和Equifax信貸歷史數據庫的黑客攻擊，這些安全漏洞在財務和社會上都會產生災難性的影響。這些漏洞通常是由程序員所犯的細微錯誤引起的，并且由于開源軟件和代碼重用的普遍性，可以迅速傳播。

軟件漏洞是影響網絡安全的一個基本問題，對漏洞的挖掘和發現也成為網絡安全的核心技術之一。漏洞的挖掘和發現集中融合了計算機安全和軟件測試這兩個領域的技術手段。傳統軟件缺陷測試和漏洞挖掘研究通常按照兩個維度來分類：根據被測程序是否有源代碼，分為白盒和黑盒測試；根據程序是否執行，分為靜態分析(static analysis)和動態分析(dynamic analysis)。在全球網絡安全競爭日益激烈的情況之下，漏洞挖掘技術也在不斷智能化，集中體現為測試手段更多樣化、技術形態更豐富，以及引入機器學習輔助甚至替代人工分析。

雖然有用于程序靜態(運行前)或動態(運行時)分析的現有工具，但這些工具通常只檢測基于預定義規則的有限的可能錯誤子集。隨著近些年開源代碼庫的廣泛使用，使用數據驅動技術研究程序特性已成為可能。

在利用機器學習進行源代碼漏洞檢測時，核心技術是源代碼中可疑代碼的提取與可疑代碼的表示法以及將可疑代碼作為輸入的機器學習模型。在2018年NDSS會議上，Li等人設計了一種檢測C/C++代碼上的庫函數/API調用漏洞的系統VulDeePecker，首先提取函數調用相關代碼切片作為可疑代碼，之后用Word2Vec對可疑代碼向量化，最后用雙向長短時神經網絡(BLSTM)對可疑代碼進行分類，在SARD和NVD漏洞數據庫的測試上取得了較低的誤報率。在2017年的SecurityPrivacy會議上，Kim等人將源代碼視作字符串，用源代碼字符串的哈希值作為源代碼的表示，利用大量的數據集，構建了檢測代碼復制行為的工具VUDDY，可以用于漏洞檢測。

在2016年的ICSE會議上，Wang將源代碼中的關鍵類型的代碼節點作為可疑代碼，利用深度信念網絡(DBN)將可疑代碼編碼為向量，以自動學習代碼的語義表達，建立起缺陷預測和程序語義之間的橋梁，之后利用傳統機器學習方法訓練編碼后的向量，利用公開的PROMISE數據集研究了項目內和跨項目的漏洞檢測，在部分項目的檢測上取得了較好的效果。