[發明專利]一種基于二進制程序的漏洞檢測方法及相關設備

在審

• 申請號: 202011474805.1
• 申請日: 2020-12-14
• 公開（公告）號: CN112613040A
• 公開（公告）日: 2021-04-06
• 發明（設計）人: 石志強;楊壽國;曾怡誠;宋站威;朱紅松;孫利民
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F11/36
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 譚云

本發明提供一種基于二進制程序的漏洞檢測方法及相關設備，屬于計算機信息安全技術領域，所述方法包括：基于預先給出的已知漏洞的二進制函數集合，計算所述已知漏洞的二進制函數集合的每個已知漏洞函數與目標二進制程序中所有函數的相似度；當第一已知漏洞函數與所述目標二進制中的第二函數的相似度大于閾值時，則確定所述第二函數與所述第一已知漏洞函數是同源函數，所述第二函數具有與所述第一已知漏洞函數相似的漏洞。本發明基于已知一個漏洞函數的情況下，通過找到目標二進制程序中與已知漏洞函數的同源函數，實現了對目標二進制程序的漏洞檢測。

技術領域

本發明涉及計算機信息安全技術領域，尤其涉及一種基于二進制程序的漏洞檢測方法及相關設備。

背景技術

漏洞是指在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。漏洞是信息系統及網絡空間安全的重要影響因素。

漏洞檢測是漏洞分析技術的一個重要分支，一般是從已有漏洞出發，查找與其存在同源關系的相似漏洞甚至根據漏洞代碼特征發現未公開的漏洞。在源碼級別進行漏洞檢測的技術已經較為成熟，有許多專業工具可以使用自動化的漏洞檢測方法，對程序源碼進行檢測并提供安全性建議。

但這些專業工具不能檢測源碼未知的二進制程序。例如當前許多廣泛使用的軟件的源碼是未知的，如商業軟件MS Office和免費閉源軟件Adobe Reader、Flash，并且由于在開發過程中存在代碼重用，當一個第三方代碼庫中被發現可利用漏洞函數時，重用該代碼庫中代碼的廠商產品中也可能包含相同的漏洞函數，而這些產品可能不公開源代碼，只提供二進制程序。因此，二進制程序中的漏洞可以跨軟件對不同類型的軟件造成安全隱患。因此，迫切需要對二進制程序進行漏洞檢測以發現二進制程序中漏洞函數。

發明內容

本發明提供一種基于二進制程序的漏洞檢測方法及相關設備，用以解決現有技術中不能準確檢測到二進制程序的漏洞函數的問題，實現對二進制程序中的同源漏洞函數的精確檢測。

本發明提供一種基于二進制程序的漏洞檢測方法，包括：

基于預先給出的已知漏洞的二進制函數集合，計算所述已知漏洞的二進制函數集合的每個已知漏洞函數與目標二進制程序中所有函數的相似度；

當第一已知漏洞函數與所述目標二進制中的第二函數的相似度大于閾值時，則確定所述第二函數與所述第一已知漏洞函數是同源函數，所述第二函數具有與所述第一已知漏洞函數相似的漏洞。

根據本發明提供的一種基于二進制程序的漏洞檢測方法，所述計算所述已知漏洞的二進制函數集合的每個已知漏洞函數與目標二進制程序中所有函數的相似度，包括：

將第一已知漏洞函數和第二函數依次進行反匯編和反編譯后，提取所述第一已知漏洞函數的AST₁和所述第二函數的AST₂；

對所述第一已知漏洞函數的AST₁和所述第二函數的AST₂，分別進行預處理后輸入至孿生神經網絡對應的第一Tree-LSTM網絡和第二Tree-LSTM網絡；

通過所述第一Tree-LSTM網絡對所述第一已知漏洞函數的AST₁進行向量編碼得到所述第一已知漏洞函數的特征向量，以及通過所述第二Tree-LSTM網絡對所述第二函數的AST₂進行向量編碼得到所述第二函數的特征向量；

通過孿生神經網絡對所述第一已知漏洞函數的特征向量和所述第二函數的特征向量進行相似性計算，得到AST相似度；

對所述AST相似度進行校準，得到所述第一已知漏洞函數和所述第二函數的相似度。