CN109308413A - 特征提取方法、模型生成方法及恶意代码检测方法 - Google Patents

Abstract

本发明提供一种特征提取方法，该方法包括：获取或生成批量恶意智能合约样本中所标注的各恶意代码单元的权重；通过定长n‑gram算法对第一样本进行特征提取，生成第一特征向量；通过配置各权重的变长n‑gram算法对第一样本进行特征提取，生成第二特征向量；对第一特征向量和第二特征向量进行融合，生成第三特征向量；本发明还提供一种模型生成方法及一种恶意代码检测方法，对特征提取方法中的第三特征向量生成智能合约恶意代码检测模型，并使用该模型检测待检测样本得到检测结果。本发明提供的特征提取方法、模型生成方法及恶意代码检测方法能更好地区分智能合约恶意特征，准确高效检测区块链智能合约代码中的恶意代码。

Description

特征提取方法、模型生成方法及恶意代码检测方法

技术领域

本申请涉及区块链技术领域，具体涉及一种特征提取方法、模型生成方法及恶意代码检测方法。

背景技术

传统的恶意代码检测方法(基于签名、特征匹配、特征码)对于指数级增长的恶意智能合约代码，不能达到很好的识别和分类效果，并且单纯依赖人工作业制定规则，不能够全面地抽取并筛选出恶意智能合约的特征。现有的人工智能算法模型对于恶意代码使用n-gram算法时，只是将一串数据转化为特征向量形式，简单统计数据出现的频率，并不适用于区块链智能合约代码检测，无法很好的区分智能合约恶意特征，也无法准确高效检测出区块链智能合约代码中的恶意代码。

发明内容

鉴于现有技术中的上述缺陷或不足，期望提供一种可以更好地区分智能合约恶意特征，准确高效检测区块链智能合约代码中的恶意代码的特征提取方法、模型生成方法及恶意代码检测方法。

第一方面，本发明提供一种特征提取方法，包括：

获取或生成批量恶意智能合约样本中所标注的各恶意代码单元的权重；

通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量；

通过配置各权重的变长n-gram算法对第一样本进行特征提取，生成第二特征向量；

对第一特征向量和第二特征向量进行融合，生成第三特征向量。

第二方面，本发明提供一种模型生成方法，包括：

根据特征提取方法对若干样本进行特征提取，得到若干第三特征向量；

通过SVM算法对若干第三特征向量进行训练，生成智能合约恶意代码检测模型。

第三方面，本发明提供一种恶意代码检测方法，包括：

将待检测的智能合约如特征提取方法进行特征提取，将得到的第三特征向量输入模型生成方法所生成的智能合约恶意代码检测模型，得到检测结果。

第四方面，本发明还提供一种设备，包括一个或多个处理器和存储器，其中存储器包含可由该一个或多个处理器执行的指令以使得该一个或多个处理器执行根据本发明各实施例提供的特征提取方法、模型生成方法及恶意代码检测方法。

第五方面，本发明还提供一种存储有计算机程序的存储介质，该计算机程序使计算机执行根据本发明各实施例提供的特征提取方法、模型生成方法及恶意代码检测方法。

本发明诸多实施例提供的特征提取方法、模型生成方法及恶意代码检测方法通过获取或生成批量恶意智能合约样本中所标注的各恶意代码单元的权重；通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量；通过配置各权重的变长n-gram算法对第一样本进行特征提取，生成第二特征向量；对第一特征向量和第二特征向量进行融合，生成第三特征向量的方法，更好地区分智能合约恶意特征，准确高效检测区块链智能合约代码中的恶意代码。

本发明一些实施例提供的特征提取方法、模型生成方法及恶意代码检测方法进一步通过对所述第一样本进行预处理，生成所述第一样本的十六进制操作码(OPcode)；根据配置各所述权重的变长n-gram算法对所述十六进制操作码进行处理，获得若干恶意代码单元序列的特征值；根据各所述特征值生成第二特征向量的方法，提高恶意特征的区分能力。

本发明一些实施例提供的特征提取方法、模型生成方法及恶意代码检测方法进一步通过分别对第一特征向量和第二特征向量进行归一化处理；对归一化处理结果进行融合，生成第三特征向量的方法，提高收敛速度、在模型生成阶段加快模型生成速度。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1为本发明一实施例中特征提取、模型生成、恶意代码检测场景的示意图。

图2为本发明一实施例提供的一种特征提取方法的流程图。

图3为图2所示方法的一种优选实施方式中步骤S16的流程图。

图4为图2所示方法的一种优选实施方式中步骤S18的流程图。

图5为本发明一实施例提供的一种模型生成方法的流程图。

图6为本发明一实施例提供的一种恶意代码检测方法的流程图。

图7为本发明一实施例提供的一种设备的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1为本发明一实施例中特征提取、模型生成、恶意代码检测场景的示意图。如图1所示，在本实施例中，终端搜集了批量恶意智能合约，结合恶意智能合约样本中恶意代码出现的频率，及根据已知的标注信息为各恶意代码单元分配权重；终端将第一特征向量与第二特征向量进行融合，生成第三特征向量，其中，第二特征向量生成时与权重有关；将第三特征向量进行训练得到恶意代码检测模型；将待检测样本输入恶意代码检测模型得到检测结果。

第一样本中包括但不限于四个代码A、B、C、D；A为在大量恶意智能合约中出现，并且常为恶意智能合约核心利用，在机器统计之后为A分配权重为5；B为在少量恶意智能合约中出现，且威胁程度较低，在机器统计之后为B分配权重为3；C和D在恶意智能合约中基本不出现，在机器统计之后权重默认为1；代码的调用顺序往往和漏洞有直接关系，例如，ABC的调用顺序会导致安全漏洞的产生，而BCD的调用顺序不会导致安全漏洞的产生。以下结合图2对本发明提供的特征提取方法进行具体说明。

图2为本发明一实施例提供的一种特征提取方法的流程图。如图2所示，在本实施例中，本发明提供一种特征提取方法，包括：

S12获取或生成批量恶意智能合约样本中所标注的各恶意代码单元的权重；

S14：通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量；

S16：通过配置各权重的变长n-gram算法对第一样本进行特征提取，生成第二特征向量；

S18：对第一特征向量和第二特征向量进行融合，生成第三特征向量。

具体地，以图1所示应用场景为例，提取第一特征向量时，取n＝4，第一特征向量为[4，3，2，1]；提取第二特征向量时，取每3个代码为一组，通过配置各权重的变长n-gram算法统计每组出现的频次，第二特征向量为[63，56，63]。

在步骤S12中，获取批量恶意智能合约样本中所标注的恶意代码单元的权重，在机器统计之后为A分配权重为5，在机器统计之后为B分配权重为3，C和D在机器统计之后权重默认为1；

在步骤S14中，通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量，第一特征向量为[4，3，2，1]；

在步骤S16中，通过配置各权重的变长n-gram算法对第一样本进行特征提取，生成第二特征向量，第二特征向量为[63，56，63]；

在步骤S18中，对第一特征向量和第二特征向量进行融合，生成第三特征向量，第三特征向量为[4，3，2，1，63，56，63]。

其中，通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量的过程包括：

将第一样本进行预处理，生成第一样本的十六进制操作码(OPcode)；

提取第一样本的所有n-gram，n-gram指的是十六进制格式文件的连续n个字节，例如，取n＝4，即每次取4个字节进行gram切分；

计算所提取的n-gram的信息增益；

选择信息增益最大的n个n-gram，并按照信息增益的大小，从大到小排序，统计第一样本中包含对应n-gram的数量，得到一个n维向量，生成第一特征向量为[4，3，2，1]。

上述实施例以提取第一特征向量时，取n＝4，第一特征向量为[4，3，2，1]；提取第二特征向量时，取每3个代码为一组，通过配置各权重的变长n-gram算法统计每组出现的频次，第二特征向量为[63，56，63]为例，对本发明提供的特征提取方法进行了详细阐述，在更多实施例中，本发明提供的特征提取方法不以上述举例为限，还可以根据实际需求，提取第一特征向量时将n配置为其它正整数，提取第二特征向量时，取其它个数的代码为一组统计每组出现的频次，均可实现相同的技术效果。

上述实施例能更好地区分智能合约恶意特征，准确高效检测区块链智能合约代码中的恶意代码。

图3为图2所示方法的一种优选实施方式中步骤S16的流程图。如图3所示，在一优选实施例中，步骤S16包括：

S162：对第一样本进行预处理，生成第一样本的十六进制操作码(OPcode)；

S164：根据配置各权重的变长n-gram算法对十六进制操作码进行处理，获得若干恶意代码单元序列的特征值；

S166：根据各特征值生成第二特征向量。

具体地，以图1所示应用场景为例，提取第二特征向量时，取每3个代码为一组统计每组出现的频次，第一样本中ABC、ADC、CAC出现的频次分别为7，8，9。

在步骤S162中，对第一样本进行预处理，生成第一样本的十六进制操作码(OPcode)；

在步骤S164中，根据配置各权重的变长n-gram算法对十六进制操作码进行处理，获得ABC、ADC、CAC的特征值，ABC的特征值为：(5+3+1)*7＝63，ADC的特征值为：(5+1+1)*8＝56，CAC的特征值为：(1+5+1)*9＝63；

在步骤S166中，根据各特征值生成第二特征向量[63，56，63]。

上述实施例可以看出，分配权重后的特征值分别为(5+3+1)*7＝63，(5+1+1)*8＝56，(1+5+1)*9＝63；未分配权重的特征值为：(1+1+1)*7＝21，(1+1+1)*8＝24，(1+1+1)*9＝27，分配权重后，恶意特征的区分能力明显提升。

图4为图2所示方法的一种优选实施方式中步骤S18的流程图。如图4所示，在一优选实施例中，步骤S18包括：

S182：分别对第一特征向量和第二特征向量进行归一化处理；

S184：对归一化处理结果进行融合，生成第三特征向量。

具体地，以图1所示应用场景为例，第一特征向量为[4，3，2，1]，第二特征向量为[63，56，63]。

在步骤S182中，分别对第一特征向量和第二特征向量进行归一化处理，第一特征向量进行归一化处理后得到处理结果[1，0.75，0.5，0.25]，第二特征向量进行归一化处理后得到处理结果[1，8/9，1]；

在步骤S184中，对[1，0.75，0.5，0.25]与[1，8/9，1]进行融合，生成第三特征向量[1，0.75，0.5，0.25，1，8/9，1]。

上述实施例通过分别对第一特征向量和第二特征向量进行归一化处理，对归一化处理结果进行融合，生成第三特征向量的方法，提高收敛速度、在模型生成阶段加快模型生成速度。

图5为本发明一实施例提供的一种模型生成方法的流程图。如图5所示，在本实施例中，本发明提供一种模型生成方法，包括：

S22：根据特征提取方法对若干样本进行特征提取，得到若干第三特征向量；

S24：通过SVM算法对若干第三特征向量进行训练，生成智能合约恶意代码检测模型。

上述实施例采用支持向量机SVM进行模型训练。

支持向量是距离分类超平面近的那些点，SVM的思想是使得支持向量到分类超平面的间隔最大化。距离分类超平面近的那些点到该超平面的间隔最大化代表了该超平面对两类数据的区分度强，不容易出现错分的情况。

SVM的优点是：

SVM可以很好得解决二分类问题，可以解决线性不可分的情况。两类数据点根本无法用超平面分隔开；计算复杂度仅取决于少量支持向量，对于数据量大的数据集计算复杂度低。

图6为本发明一实施例提供的一种恶意代码检测方法的流程图。如图6所示，在本实施例中，本发明提供一种恶意代码检测方法，包括：

S32：将待检测的智能合约如特征提取方法进行特征提取，将得到的第三特征向量输入模型生成方法所生成的智能合约恶意代码检测模型，得到检测结果。

图7为本发明一实施例提供的一种设备的结构示意图。

如图7所示，作为另一方面，本申请还提供了一种设备700，包括一个或多个中央处理单元(CPU)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM703中，还存储有设备700操作所需的各种程序和数据。CPU701、ROM702以及RAM703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

以下部件连接至I/O接口705：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

特别地，根据本公开的实施例，上述任一实施例描述的特征提取方法、模型生成方法及恶意代码检测方法可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行特征提取方法、模型生成方法及恶意代码检测方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。

作为又一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例的装置中所包含的计算机可读存储介质；也可以是单独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有一个或者一个以上程序，该程序被一个或者一个以上的处理器用来执行描述于本申请的特征提取方法、模型生成方法及恶意代码检测方法。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以通过执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以通过专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，各所述单元可以是设置在计算机或移动智能设备中的软件程序，也可以是单独配置的硬件装置。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离本申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (7)

1.一种特征提取方法，其特征在于，包括：

获取或生成批量恶意智能合约样本中所标注的各恶意代码单元的权重；

通过定长n-gram算法对第一样本进行特征提取，生成第一特征向量；

通过配置各所述权重的变长n-gram算法对所述第一样本进行特征提取，生成第二特征向量；

对所述第一特征向量和所述第二特征向量进行融合，生成第三特征向量。

2.根据权利要求1所述的方法，其特征在于，所述通过配置各所述权重的变长n-gram算法对所述第一样本进行特征提取，生成第二特征向量包括：

对所述第一样本进行预处理，生成所述第一样本的十六进制操作码(OPcode)；

根据配置各所述权重的变长n-gram算法对所述十六进制操作码进行处理，获得若干恶意代码单元序列的特征值；

根据各所述特征值生成第二特征向量。

3.根据权利要求1-2任一项所述的方法，其特征在于，所述对所述第一特征向量和所述第二特征向量进行融合，生成第三特征向量包括：

分别对所述第一特征向量和所述第二特征向量进行归一化处理；

对归一化处理结果进行融合，生成第三特征向量。

4.一种模型生成方法，其特征在于，包括：

根据如权利要求1-3任一项所述的特征提取方法对若干样本进行特征提取，得到若干第三特征向量；

通过SVM算法对所述若干第三特征向量进行训练，生成智能合约恶意代码检测模型。

5.一种恶意代码检测方法，其特征在于，包括：

将待检测的智能合约如权利要求1-3任一项所述的特征提取方法进行特征提取，将得到的第三特征向量输入如权利要求4所述的模型生成方法所生成的智能合约恶意代码检测模型，得到检测结果。

6.一种设备，其特征在于，所述设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1-5中任一项所述的方法。

7.一种存储有计算机程序的存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-5中任一项所述的方法。