CN104268085B - 一种基于属性提取的软件漏洞挖掘系统及方法 - Google Patents

Abstract

本发明请求保护一种基于属性提取的软件漏洞挖掘系统及方法，属于计算机安全领域，包括了关键代码发现模块、漏洞分析模块、漏洞推理模块。包括以下步骤：提取待测软件关键代码的步骤；对待测软件在虚拟机环境中执行，并采用虚拟机故障注入引擎与关键代码进行测试交互，记录测试结果；将测试结果结合挖掘经验知识库进行推理。本发明有效地解决了软件缺陷不确定与漏洞的复杂因果关系推理问题。基于属性提取的软件漏洞挖掘方法在安全性、灵活性、兼容性方面都有着一定的优势。

Description

一种基于属性提取的软件漏洞挖掘系统及方法

技术领域

本发明涉及计算机安全领域，涉及软件漏洞挖掘技术，尤其是一种基于属性提取的软件漏洞挖掘方法。

背景技术

随着信息技术的发展，计算机软件在经济、教育、国防等各个领域发挥着重要作用。在此情况下，软件安全已经成为人们日益关注的重要问题。其中，漏洞是指系统或软件存在的一些功能性或安全性的逻辑缺陷，包括一切导致威胁、损坏计算机系统安全性的所有因素，是计算机系统在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷和不足。由于种种原因，漏洞的存在不可避免，根据国内的权威机构国家信息安全漏洞共享平台(China National Vulnerability Database，简称CNVD)从2000年到2013年收集的漏洞数据统计显示，漏洞总体数量呈现上升趋势。不仅如此，新漏洞从公布到被利用的时间越来越短，黑客对发布的漏洞信息进行分析研究，往往在极短的时间内就能成功利用这些漏洞。除了利用已知漏洞，黑客们也善于挖掘并利用一些尚未公布的漏洞，发起病毒攻击，或出售漏洞资料，满足经济目的。尽早发现并及时修补软件中存在的漏洞，对保护互联网用户的个人信息安全、财产安全和维护国家安全都有积极的促进作用。因此，主动挖掘并分析软件安全漏洞，对网络攻防战具有重要的意义。

漏洞挖掘技术是指对未知漏洞的探索，综合应用各种技术和工具，尽可能地找出软件中的潜在漏洞。根据分析对象的不同，漏洞挖掘技术分为基于源码的漏洞挖掘技术和基于目标代码的漏洞挖掘技术两大类。基于源码的漏洞挖掘的前提是要必须获取源代码，通过分析其公布的源代码，找到存在的漏洞。例如对Linux系统的漏洞挖掘和android系统的漏洞挖掘都可以采取这种方法。但是大多数的商业软件其源代码很难获得，从源码的角度进行漏洞挖掘不可行，只能采取基于目标代码的漏洞挖掘技术。

目前常见的漏洞挖掘技术有多种，主要包括手工测试技术、Fuzzing技术、二进制比对技术、静态分析技术、动态分析技术等。在多种漏洞分析技术中，手工测试技术虽然实现简单但是测试过程高度依赖测试者；Fuzzing技术具有漏洞重现容易、不存在误报等优点，但是它不通用，构造测试周期长等缺点；二进制对比技术不足是受编译器优化的影响较大；静态分析技术不能发现程序动态运行过程中的安全漏洞，检测结果集大、误报率高等缺点；动态分析技术可以满足部分安全检测的需要，但是还是有较大的局限性，效率不高，不容易找到分析点，对分析人员要求较高等缺点。为了弥补上述现存漏洞分析技术存在的不足，进一步提高软件漏洞挖掘过程中的效率和精准度，提出了一种基于属性提取的软件漏洞挖掘技术。

发明内容

针对以上现有技术中的不足，本发明的目的在于提供一种提高软件漏洞挖掘的全面性和准确性的基于属性提取的软件漏洞挖掘系统及方法，本发明的技术方案如下：一种基于属性提取的软件漏洞挖掘系统，其包括发现模块、分析模块及推理模块；其中，

发现模块：用于对软件代码进行反汇编，并对得到的汇编代码进行代码切片，再根据代码片段的属性，通过机器学习分类器对代码片段进行分类，从软件的冗余代码中提取出关键代码，对关键代码汇集成发送给分析模块作为分析模块的目标对象；

分析模块：用于接收发现模块发送来的待测关键代码，并将待测软件在虚拟机环境中执行，并采用虚拟机故障注入引擎与待测关键代码的进程进行测试交互，对测试交互全程进行分析监测和控制，并观察和记录待测软件在不同测试情况下的信息状态与执行反应，并将记录结果传输给推理模块；

推理模块：用于接收根据测试对象在不同分析情况下的状态记录结果，结合挖掘经验知识库，对测试对象不同情况的结果进行推理，实现挖掘该软件发生漏洞的预测，完成被测软件发生漏洞触发的推理过程。

一种基于属性提取的软件漏洞挖掘方法，其包括以下步骤：

201.、提取待测软件关键代码的步骤；

202、对待测软件在虚拟机环境中执行，并采用虚拟机故障注入引擎与关键代码进行测试交互，记录测试结果；

203、将测试结果结合挖掘经验知识库进行推理。

所述步骤201中提取待测软件关键代码的步骤具体为：

S21、获取待测应用软件的冗余代码；

S22、对软件冗余代码进行反汇编，得到汇编代码；

S23、汇编代码切片，形成n个代码片段；

S24、通过分类器对代码片段进行分类，挖掘软件中关键代码；

S25、汇集关键代码类为目标代码，提供给下一层漏洞分析与漏洞挖掘。

进一步的，步骤S24中对代码片段进行分类的步骤包括：

S241、根据代码片段上下文联系属性形成代码片段属性向量，即代码片段i有m个属性，其属性向量X_i.为x_i1,x_i2,x_i3,...,x_im；

S242、分类器基于贝叶斯条件概率对代码片段进行分类，分类结果类别分别为关键代码类c₁和非关键代码类c₂，通过贝叶斯决策理论其中k∈{1,2},i∈{1,2,3...,n}，完成代码片段分类。

S243、汇集所有关键代码，形成关键代码类。

进一步的，步骤202中具体步骤为，S11：测试对象注入到虚拟环境中运行，获得被测对象所有状态信息和执行路径，利用虚拟机故障注入引擎与待测进程交互，实现测试全程的监测和控制；

S12：提取软件可能发生漏洞部分，；

S13：对测试对象执行针对性错误注入；

S14：虚拟机监测测试对象执行信息；

S15：对测试对象所有行为信息进行记录；

S16：测试对象进程快照恢复，重新回到S13，执行新的错误注入，监测其他潜在漏洞。

进一步的，步骤203中进行推理的步骤为：

S31：根据软件行为记录，结合S32漏洞挖掘经验知识指导，计算软件缺陷征兆值，推理该测试用例漏洞触发概率，即软件漏洞发生概率，对软件漏洞完成挖掘；

S32：软件漏洞挖掘经验知识库指导漏洞挖掘推理过程，同时软件漏洞挖掘过程不断更新挖掘实验知识库。

本发明的优点及有益效果如下：

本发明从目前软件漏洞挖掘存在的问题入手提出一种基于属性提取的软件漏洞挖掘方法。该方法区别于传统软件漏洞挖掘方法，基于属性提取的软件漏洞挖掘过程中不是对软件所有部分进行漏洞分析，而是针对性对可能发生漏洞部分进行漏洞挖掘。其中发明重点部分是发现模块，即如何从整体软件中发现需要进行漏发挖掘分析的部分。基于属性提取的软件漏洞挖掘方法运用了机器学习分类知识，从软件中挖掘出可能会发生漏洞的关键代码部分，通过在测试对象虚拟机环境下的分析和监测，结合漏洞挖掘知识，对软件在测试过程的不同情况下的行为表现和信息特征给出缺陷征兆值，从而进行漏洞发生预测，简化了软件漏洞挖掘的复杂性。基于属性提取的软件漏洞挖掘方法中测试对象的执行环境在于虚拟化环境中，有效监测了被测对象的执行状态。在分析模块中结合多种漏洞挖掘分析技术，实现了漏洞挖掘多种分析技术的相互结合、共同使用和优势互补的过程，提供软件漏洞挖掘的全面性和准确性。其中重点发明部分是发现软件中的关键代码，通过机器学习的分类器，有效地提取出测试软件的关键代码，剔除了软件中的冗余代码，提高软件漏洞挖掘的效率。

附图说明

图1是本发明的实施结构示意图；

图2是本发明的漏洞分析执行结构示意图；

图3是本发明的发现模块执行结构示意图；

图4是本发明的发现模块分类器执行结构示意图；

图5是本发明的漏洞推理模块结构示意图。

具体实施方式

下面结合附图给出一个非限定的实施例对本发明作进一步的阐述。但是应该理解，这些描述只是示例的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

如图1所示为本发明的实施结构示意图，包括发现模块、分析模块、推理模块。具体说明本发明的详细实施过程，包括如下3个步骤：

S1：测试对象在虚拟化测试环境中完成测试分析，结合多种漏洞分析技术并行分析。测试对象行为受到虚拟机监测，通过多种现有漏洞分析技术相结合方式，包括Fuzzing技术、二进制对比技术、静态分析技术、动态分析技术等多种漏洞分析技术共同分析，并记录行为信息；

S2：通过对软件代码属性分析，对软件代码分类，挖掘出软件可能会形成漏洞的部分，得到软件中关键代码，提供给S1进行漏洞分析，即发现目标代码；

S3：分析测试对象记录结果，分析是否有异常行为，对该软件是否发生漏洞推理，完成软件漏洞触发挖掘，即软件漏洞挖掘。

上述步骤S1漏洞分析模块操作参照图2所示，具体可以分为如下6个步骤：

S11：测试对象注入到虚拟环境中运行，获得被测对象所有状态信息和执行路径，利用虚拟机故障注入引擎与待测进程交互，实现测试全程的监测和控制；

S12：提取软件可能发生漏洞部分，详细描述为S2；

S13：对测试对象执行针对性错误注入；

S14：虚拟机监测测试对象执行信息；

S15：对测试对象所有行为信息进行记录；

S16：测试对象进程快照恢复，重新回到S13，执行新的错误注入，监测其他潜在漏洞。

上述步骤S2软件代码关键代码发现模块操作参考图3所示，具体可以分为如下5个步骤：

S21：获取应用软件冗余代码；

S22：对软件冗余代码进行反汇编，得到汇编代码；

S23：汇编代码切片，形成n个代码片段；

S24：通过分类器对代码片段进行分类，挖掘软件中关键代码；

S25：汇集关键代码类为目标代码，提供给下一层漏洞分析与漏洞挖掘。

上述步骤S24代码分类参照参考图4所示，具体可以分为如下3个步骤：

S241：根据代码片段上下文联系等属性形成代码片段属性向量，即代码片段i有m个属性，其属性向量X_i.为x_i1,x_i2,x_i3,...,x_im；

S242：通过分类器对代码片段进行分类，该步骤详细说明基于贝叶斯条件概率分类。分类结果类别分别为关键代码类c₁和非关键代码类c₂，通过贝叶斯决策理论其中k∈{1,2},i∈{1,2,3...,n}，完成代码片段分类。具体实现过程分为以下5个步骤：

S2421：收集代码片段属性数据，每个代码片段拥有属性值个数为m；

S2422：代码片段属性数据预处理为布尔型数据，完成数据的准备，即代码片段i的第j属性x_ij满足约束条件，则x_ij＝1，否则x_ij＝0，通过以上方式，完成所有数据的预处理，做好数据准备；

S2423：提供部分训练数据，其包含代码片段的属性向量数据和代码片段的正确分类，根据训练集，计算不同的独立属性的条件概率。根据训练集来计算p(c_k)；计算p(X_i)，有计算p(X_i|c_k)，因为每个属性相互独立

S2424：计算错误率；

S2425：使用计算代码片段i所属类别，如果p(c₁|X_i)>p(c₂|X_i)，属于类别为关键代码类c₁，如果p(c₁|X_i)<p(c₂|X_i)，属于类别为非关键代码类c₂；

S243：汇集所有关键代码，形成关键代码类；

上述步骤S3漏洞推理模块操作参考图5所示，具体可以分为如下2个步骤：

S31：根据软件行为记录，结合S32漏洞挖掘经验知识指导，计算软件缺陷征兆值，推理该测试用例漏洞触发概率，即软件漏洞发生概率，对软件漏洞完成挖掘；

S32：软件漏洞挖掘经验知识库指导漏洞挖掘推理过程，同时软件漏洞挖掘过程不断更新挖掘实验知识库。

本发明所述的基于属性提取的软件漏洞挖掘方法，其特点在于，利用分类器发现软件中可能发生漏洞部分，即关键代码，形成更为优化的测试目标，对软件漏洞挖掘更具有针对性和高效性；多种漏洞分析技术相结合，互相弥补各自缺点，优势互补，测试对象运行于虚拟化环境中，漏洞分析结果更为全面性和准确性；利用软件缺陷征兆值刻画缺陷对漏洞发生的贡献程度，有效解决软件缺陷不确定知识表示以及软件缺陷与漏洞的复杂因果关系推理问题，结合挖掘经验知识库指导漏洞挖掘自动推理过程，使漏洞自动挖掘具有合理性。

以上这些实施例应理解为仅用于说明本发明而不用于限制本发明的保护范围。在阅读了本发明的记载的内容之后，技术人员可以对本发明作各种改动或修改，这些等效变化和修饰同样落入本发明方法权利要求所限定的范围。

Claims (4)

1.一种基于属性提取的软件漏洞挖掘系统，其特征在于：包括发现模块、分析模块及推理模块；其中，

发现模块：用于对软件代码进行反汇编，并对得到的汇编代码进行代码切片，再根据代码片段的属性，通过机器学习分类器对代码片段进行分类，对代码片段进行分类的步骤包括：

根据代码片段上下文联系属性形成代码片段属性向量，即代码片段i有m个属性，其属性向量X_i.为x_i1,x_i2,x_i3,...,x_im；

分类器基于贝叶斯条件概率对代码片段进行分类，分类结果类别分别为关键代码类c₁和非关键代码类c₂，通过贝叶斯决策理论其中k∈{1,2},i∈{1,2,3...,n}，完成代码片段分类，汇集所有关键代码，形成关键代码类，从软件的冗余代码中提取出关键代码，对关键代码汇集成发送给分析模块作为分析模块的目标对象；

分析模块：用于接收发现模块发送来的待测关键代码，并将待测软件在虚拟机环境中执行，并采用虚拟机故障注入引擎与待测关键代码的进程进行测试交互，对测试交互全程进行分析监测和控制，并观察和记录待测软件在不同测试情况下的信息状态与执行反应，并将记录结果传输给推理模块；

推理模块：用于接收根据测试对象在不同分析情况下的状态记录结果，结合软件漏洞挖掘经验知识库，对测试对象不同情况的结果进行推理，实现挖掘该软件发生漏洞的预测，完成被测软件发生漏洞触发的推理过程。

2.一种基于属性提取的软件漏洞挖掘方法，其特征在于：包括以下步骤：

201、提取待测软件关键代码的步骤，具体为：

S21、获取待测应用软件的冗余代码；

S22、对软件冗余代码进行反汇编，得到汇编代码；

S23、汇编代码切片，形成n个代码片段；

S24、通过分类器对代码片段进行分类，挖掘软件中关键代码；对代码片段进行分类的步骤包括：

S241、根据代码片段上下文联系属性形成代码片段属性向量，即代码片段i有m个属性，其属性向量X_i.为x_i1,x_i2,x_i3,...,x_im；

S242、分类器基于贝叶斯条件概率对代码片段进行分类，分类结果类别分别为关键代码类c₁和非关键代码类c₂，通过贝叶斯决策理论其中k∈{1,2},i∈{1,2,3...,n}，完成代码片段分类；

S243、汇集所有关键代码，形成关键代码类；

S25、汇集关键代码类为目标代码，提供给以下漏洞分析与漏洞挖掘的步骤；

202、对待测软件在虚拟机环境中执行，并采用虚拟机故障注入引擎与关键代码进行测试交互，记录测试结果；

203、将测试结果结合挖掘经验知识库进行推理。

3.根据权利要求2所述的基于属性提取的软件漏洞挖掘方法，其特征在于：步骤202中具体步骤为，S11：测试对象注入到虚拟环境中运行，获得被测对象所有状态信息和执行路径，利用虚拟机故障注入引擎与待测进程交互，实现测试全程的监测和控制；

S12：提取软件可能发生漏洞部分；

S13：对测试对象执行针对性错误注入；

S14：虚拟机监测测试对象执行信息；

S15：对测试对象所有行为信息进行记录；

S16：测试对象进程快照恢复，重新回到S13，执行新的错误注入，监测其他潜在漏洞。

4.根据权利要求2所述的基于属性提取的软件漏洞挖掘方法，其特征在于：步骤203中进行推理的步骤为：

S31：根据软件行为记录，结合S32漏洞挖掘经验知识指导，计算软件缺陷征兆值，软件缺陷征兆值用于刻画缺陷对漏洞发生的贡献程度，推理测试用例漏洞触发概率，即软件漏洞发生概率，对软件漏洞完成挖掘；

S32：软件漏洞挖掘经验知识库指导漏洞挖掘推理过程，同时软件漏洞挖掘过程不断更新软件漏洞挖掘经验知识库。