CN111177733A - 一种基于数据流分析的软件补丁检测方法及装置 - Google Patents

Abstract

一种基于数据流分析的软件补丁检测方法，利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义做为待检测补丁的特征；建立二进制代码与源码之间的映射关系；选择VEX‑IR作为物联网环境中的设备固件的二进制代码提升的中间代码，使用开源的Angr对二进制代码进行分析，提取出控制流，所述控制流以函数为单位，每个所述函数包含节点为基本块，程序跳转语义为边的控制流；对所述基本块内的数据流进行分析，对所述基本块的代码进行反向逐条分析，提取每个语句中变量的使用链；对跨基本块的数据流进行分析；对提取出的数据流进行优化；从基本块中得到补丁特征，对其进行多阶段匹配。

Description

一种基于数据流分析的软件补丁检测方法及装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于数据流分析的软件补丁检测方法及装置。

背景技术

随着IoT的快速发展以及开源软件在IoT设备中的广泛应用，大量存在漏洞的设备暴露在互联网环境中。据Gartner发布的报告，预计至2020年全球范围内将有200亿物联网设备。虽然开源软件会定期发布漏洞补丁，然而由于缺乏有效的软件更新机制及补丁管理机制，大量漏洞仍然未被修补，比如2014年爆出的Heartbleed漏洞导致2亿多个安卓设备存在被攻击的风险，虽然OpenSSL及时发布了针对该漏洞的补丁，截至2017年仍然有超过20万个设备中的漏洞未被修补。因此无论对于安全研究人员还是企业软件产品的维护人员，高效准确的补丁检测工具成为亟需。然而由于软件产品的快速迭代以及产品发布平台的差异化导致补丁检测非常难以实现。

当前的补丁检测方法包括：提取二进制代码的控制流并进行嵌入学习，继而将学得的特征向量利用分类器进行判别分析，该类方法虽然检测效率比较高，检测精度却存在极大限制。另一类方法采用基于符号执行结合数据流分析的方法对二进制代码中的补丁进行检测，然而该类方法效率极其低下，无法应用到大规模的软件产品检测任务中。这些使得现有补丁检测工具的效率和准确率受到了限制。

高效准确的自动化补丁检测工具在物联网设备安全防护中具有极其重要的作用，然而目前已有的工作和装置在检测效率和准确度上还远远满足不了实际应用的需求。所以基于现有技术中软件补丁检测装置存在的问题和挑战，需要一种新的解决方案解决上述问题。

发明内容

为解决上述技术问题，本发明提供了一种基于数据流分析的软件补丁检测方法及装置。

一种基于数据流分析的软件补丁检测方法，包括：

步骤一：利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义做为待检测补丁的特征；建立二进制代码与源码之间的映射关系；

步骤二：选择VEX-IR作为物联网环境中的设备固件的二进制代码提升的中间代码，使用开源的Angr对二进制代码进行分析，提取出控制流，其中，所述控制流以函数为单位，每个所述函数为包含节点为基本块，程序跳转为边的所述控制流；

对所述基本块内的数据流进行分析，对所述基本块的代码进行反向逐条分析，提取每个语句中变量的使用链；

对跨基本块的数据流进行分析，将分布于不同所述基本块内的数据流连接构成完整的数据信息；

对提取出的数据流进行优化；

从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据提取，得到补丁特征；

步骤三：对所述补丁特征进行多阶段匹配。

进一步，步骤一中建立二进制与源码之间映射关系的过程为：提取源码中修改点为粒度的补丁信息；将所述源码应用待检测补丁，使用-g3选项对源码进行编译得到二进制代码；通过二进制分析工具建立二进制代码与所述补丁信息之间的对应关系。

进一步，步骤二中所述开源的Angr包括控制流构建接口CFGFast。

进一步，步骤二中所述基本块包括所述基本块所使用的的所有变量信息，包含的指令，基本块跳出方式，其中，所述指令包括原始指令及翻译后的中间代码。

进一步，步骤二中所述跨基本块的数据流分析依赖所述基本块内数据流分析提供的到达-定值信息，其中，所述到达-定值信息包括，流入流出该基本块的变量信息。

进一步，步骤二中所述数据流进行优化通过对提取出的数据流进行进一步的复制传播分析、死代码删除以及变量重命名。

进一步，步骤三中所述补丁特征多阶段匹配的方法为：

首先对待检测的目标二进制代码进行中间代码提升，然后检测其中是否包含补丁特征所在的函数；

然后对匹配到的函数构建控制流结构，并进行控制流结构进行初步的快速匹配，该步骤主要对控制流的入度，初度，跳转类型等进行匹配；

对于上一步匹配到的候选基本块结构进行进一步的细粒度数据流分析，根据前述步骤提取出的跟根令特征在候选基本块进行进一步的筛选；

分别对每一个匹配的根指令提取数据流片段，分别与提取出的补丁特征进行匹配，该匹配主要包括：输入变量，输出变量，及中间代码操作符及操作数类型等。

本发明还提供了一种技术方案，这种技术方案为：

一种基于数据流分析的软件补丁检测装置，包括：

选择单元，用于利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义作为待检测补丁的特征，建立二进制代码与源码之间的映射关系；

分析单元，选择VEX-IR作为物联网环境中的设备固件的二进制代码提升的中间代码，使用开源的Angr对二进制代码进行分析，提取出控制流，对基本块内的数据流以及跨基本块的数据流进行分析；

处理单元，对提取出的数据流进行优化；从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据流提取，得到补丁特征；对所述补丁特征进行多阶段匹配。

进一步，所述分析单元提取出的控制流以函数为单位，每个所述函数为包含节点为基本块，程序跳转为边的所述控制流。

本发明一种基于数据流分析的软件补丁检测方法及装置，本发明针对当前软件补丁检测装置存在的问题与挑战，提高补丁检测工具的检测效率和准确度。本发明提出一种基于细粒度数据流分析的软件补丁检测方法及装置。该方法具有以下特点：本发明针对物联网设备平台架构差异化的特点首先将二进制代码提升至一种平台无关的中间代码形式，从而消除平台差异造成的补丁难以识别的难题；本发明在中间代码上进行多趟优化算法，消除了不同编译器及优化级别带来的代码语法差异；本发明在优化后的中间代码上施行两阶段的检测策略，首先进行快速的代码语义结构筛选，继而对细粒度的补丁语义进行检测，实现效率与精度的综合提升；本发明提出的方法相比传统的二进制代码相似度比较以及最近的基于符号执行的补丁检测，可以在保持精度的前提下，效率提升近10倍。

附图说明

图1为本发明中总体流程示意图；

图2为本发明实施例中基本块内数据流分析流程示意图；

图3为本发明实施例中数据流优化算法示意图；

图4为本发明实施例中数据流特征提取算法；

图5为本发明软件补丁检测装置的示意图。

具体实施方式

为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。

为清楚地说明本发明的设计思想，下面结合实施例对本发明进行说明。

实施例一

图1为本发明实施例的基于数据流分析的软件补丁检测方法的流程图，如图1所示，一种基于数据流分析的软件补丁检测方法，包括：

步骤一：利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义做为待检测补丁的特征；建立二进制代码与源码之间的映射关系；

步骤二：选择VEX-IR作为物联网环境中的设备的平台的二进制代码提升的中间代码，使用开源的Angr对二进制代码进行分析，提取出控制流，其中，所述控制流以函数为单位，每个所述函数包含一个节点为基本块；

对所述基本块内的数据流进行分析，对所述基本块的代码进行反向逐条分析，提取每个语句中变量的使用链；对跨基本块的数据流进行分析；

对提取出的数据流进行优化；

从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据提取，得到补丁特征；

步骤三：对所述补丁特征进行多阶段匹配。

如图1所示，在本实施例中，由于现有技术中补丁代码通常包含多处修改，经过统计分析，以OpenSSL为例，官方发布的补丁包含：赋值操作、宏定义、条件语句、类型相关、函数调用等修改类型，其中条件语句和赋值操作频率远高于其他类型的修改，结合语义，通常这两类操作涉及边界条件判断等易触发漏洞的代码语义。另一方面，补丁通常同时包含代码的添加和删除，通常分别对应漏洞代码的删除和修补代码的新增，基于此本发明仅检测新增代码的检测。

单一补丁代码也通常包含多处修改，不同的修改类型检测难度差异极大，比如宏定义的修改涉及代码在预处理阶段的分析，本发明并非对补丁文件中包含的所有修改点都进行检测，而是重点分析检测其中的条件语句及赋值语句修改。这是因为其他类型的修改通常仅为实际修补代码提供帮助，而条件语句及赋值语句与漏洞修补直接相关，检测该类型的修改对于补丁检测具有充分的置信度。基于此本发明提出了一种启发式的补丁代码语义选择策略，首先选择补丁中的赋值语句与条件语句，然后是函数调用语句，类型相关语句，最后是其他类型的修改语义。

在进行二进制-源码映射关系建立的过程中，对于补丁源码，自动提取出修改点为粒度的补丁信息，具体包括：该修改点所处的文件，修改点涉及的源码范围等。

然后将源码应用待检测补丁，并使用-g3选项对源码进行编译得到二进制代码（-g3选项可以最大限度的保留编译信息），然后通过objdump及addr2line等二进制分析工具建立二进制代码与上一步提取的补丁信息之间的对应关系。

接下来进行补丁语义分析及特征提取，由于物联网环境中的设备包含不同的平台架构，其上运行的固件代码也语法各异，编译器设计中的中间代码（IR）可以消除掉指令集，内存及寄存器访问的语法差异，另一方面本发明需要同时利用源码信息及二进制代码进行分析，而中间代码处于这两种信息的中间形式，可以同时向上向下兼容。目前主流的中间代码形式包括：VEX-IR，LLVM-IR及BIL等。由于VEX-IR支持的平台最为广泛，本发明选择VEX-IR作为二进制代码提升的中间代码。

在这一步骤中，包括四个子任务：

1、控制流构建

本发明使用开源的Angr对二进制代码进行分析，本发明从该工具提供的两种控制流构建接口中采用效率较高的CFGFast，具有较高的提取效率及精度。

提取出的控制流以函数为单位，即每个函数分别包含一个节点为基本块，边为基本块之间的到达关系的网络结构。每个基本块内包含该基本块所使用的的所有变量信息，包含的指令（原始指令及翻译后的中间代码），基本块跳出方式等。

2、数据流分析

对基本块内数据流进行分析时，由于每个基本块对应函数内连续执行的一段代码，然而通常该段代码同时包含补丁代码及不相关代码，为了精确捕捉补丁带来的代码语义变化，本发明对每个基本块进行进一步的数据流分析，该分析通过对基本块的代码进行反向逐条分析，提取每个语句中变量的使用链，该使用链通常对应补丁代码中对某个变量的相关代码操作。具体的流程如图2所示。

进行跨基本块数据流分析时，由于补丁相关的代码语义变化通常跨越多个基本块，比如包含条件跳转语句的代码至少横跨两个基本块，因此在基本块数据流分析的基础上还需跨基本块的数据流分析。该分析依赖于基本块内数据流分析提供的到达-定值信息，即流入流出该基本块的变量信息，通过控制流提供的基本块间跳转关系即可将分布于不同基本块内的数据流片段连接从而构成完整的数据信息。

3、数据流优化

控制流构建完成后，从基本块内提取出的数据流信息仍然存在冗余，经过分析，VEX-IR中包含较多的拷贝复制冗余指令，基本块内该类型冗余指令比重约为12%，因此本发明对提取出的完整数据流进行进一步的复制传播分析，死代码删除及变量重命名三趟优化算法。其中，该优化算法流程如图3所示。

4、数据流特征提取

基本块内通常包含多个细粒度数据流片段，因此需要确定哪些数据流片段与上述步骤中确定的补丁修改语义对应，本发明通过根指令的选取确定该对应关系，由于源代码通常与中间代码存在一对多的映射关系，一行源代码往往被翻译成多行二进制代码，继而被提升成多行中间代码，因此首先需要一种策略从对应的多行中间代码中选取最具代表性的进行数据流特征比对，本发明提出一种启发式的策略进行该工作，优先选择基本块中的ITL语句，其次为赋值语句，再其次为基本块内的最后一条指令。根指令选取之后，再对其中包含的多个变量分别进行细粒度数据提取，提取出的数据流即为补丁特征。具体的算法流程如图4所示。

经过上述步骤提取出补丁特征后，本发明提出一种多阶段的匹配策略，补丁特征多阶段匹配的方法为：

首先对待检测的目标二进制代码进行中间代码提升，然后检测其中是否包含补丁特征所在的函数；

然后对匹配到的函数构建控制流结构，并进行控制流结构进行初步的快速匹配，该步骤主要对控制流的入度，初度，跳转类型等进行匹配；

对于上一步匹配到的候选基本块结构进行进一步的细粒度数据流分析，根据前述步骤提取出的根指令特征在候选基本块进行进一步的筛选；

分别对每一个匹配的根指令提取数据流片段，分别与提取出的补丁特征进行匹配，该匹配主要包括：输入变量，输出变量，及中间代码操作符及操作数类型等。

上述示例中，本发明针对当前软件补丁检测装置存在的问题与挑战，提高补丁检测工具的检测效率和准确度。本发明提出一种基于细粒度数据流分析的软件补丁检测方法及装置。该方法具有以下特点：本发明针对物联网设备平台架构差异化的特点首先将二进制代码提升至一种平台无关的中间代码形式，从而消除平台差异造成的补丁难以识别的难题；本发明在中间代码上进行多趟优化算法，消除了不同编译器及优化级别带来的代码语法差异；本发明在优化后的中间代码上施行两阶段的检测策略，首先进行快速的代码语义结构筛选，继而对细粒度的补丁语义进行检测，实现效率与精度的综合提升；本发明提出的方法相比传统的二进制代码相似度比较以及最近的基于符号执行的补丁检测，可以在保持精度的前提下，效率提升近10倍。

实施例二

如图5所示，一种基于数据流分析的软件补丁检测装置，包括：

选择单元，用于利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义作为待检测补丁的特征，建立二进制代码与源码之间的映射关系；

分析单元，选择VEX-IR作为物联网环境中的设备固件的二进制代码提升的中间代码，利用Optimizer使用开源的Angr对二进制代码进行分析，提取出控制流，对基本块内的数据流以及跨基本块的数据流进行分析；

处理单元，对提取出的数据流进行优化；从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据流提取，得到补丁特征；利用Matcher对所述补丁特征进行多阶段匹配。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (9)

1.一种基于数据流分析的软件补丁检测方法，其特征在于，所示方法包括：

步骤一：利用Extractor对补丁代码进行解析 ，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义作为待检测补丁的特征；建立二进制代码与源码之间的映射关系；

步骤二：选择VEX-IR作为物联网环境中的设备固件的二进制代码提升的中间代码，使用开源的Angr对二进制代码进行分析，提取出控制流，其中，所述控制流以函数为单位，每个所述函数为包含节点为基本块，程序跳转为边的所述控制流；

对所述基本块内的数据流进行分析，对所述基本块的代码进行反向逐条分析，提取每个语句中变量的使用链；

对跨基本块的数据流进行分析，将分布于不同所述基本块内的数据流连接构成完整的数据信息；

对提取出的数据流进行优化；

从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据流提取，得到补丁特征；

步骤三：对所述补丁特征进行多阶段匹配。

2.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，步骤一中建立二进制与源码之间映射关系的过程为：提取源码中修改点为粒度的补丁信息；将所述源码应用待检测补丁，使用-g3选项对源码进行编译得到二进制代码；通过二进制分析工具建立二进制代码与所述补丁信息之间的对应关系。

3.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，步骤二中所述开源的Angr包括控制流构建接口CFGFast。

4.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，步骤二中所述基本块包括所述基本块所使用的所有变量信息，包含的指令，基本块跳出方式，其中，所述指令包括原始指令及翻译后的中间代码。

5.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，步骤二中所述跨基本块的数据流分析依赖所述基本块内数据流分析提供的到达-定值信息，其中，所述到达-定值信息包括，流入流出该基本块的变量信息。

6.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，

步骤二中所述数据流进行优化通过对提取出的数据流进行进一步的复制传播分析、死代码删除以及变量重命名。

7.根据权利要求1所述的基于数据流分析的软件补丁检测方法，其特征在于，步骤三中所述补丁特征多阶段匹配的方法为：

首先对待检测的目标二进制代码进行中间代码提升，然后检测其中是否包含补丁特征所在的函数；

然后对匹配到的函数构建控制流结构，并进行控制流结构进行初步的快速匹配，该步骤主要对控制流的入度，初度，跳转类型等进行匹配；

对于上一步匹配到的候选基本块结构进行进一步的细粒度数据流分析，根据前述步骤提取出的根指令特征在候选基本块进行进一步的筛选；

分别对每一个匹配的根指令提取数据流片段，分别与提取出的补丁特征进行匹配，该匹配主要包括：输入变量，输出变量，及中间代码操作符及操作数类型等。

8.一种基于数据流分析的软件补丁检测装置，其特征在于，所述软件补丁检测装置包括：

选择单元，用于利用Extractor对补丁代码进行解析，按序选择检测所述补丁代码中赋值语句和条件语句、函数调用语句、类型相关语句、其它类型语句的修改语义作为待检测补丁的特征，建立二进制代码与源码之间的映射关系；

分析单元，选择VEX-IR作为物联网环境中的设备固件的二进制代码提升的中间代码，利用Optimizer使用开源的Angr对二进制代码进行分析，提取出控制流，对基本块内的数据流以及跨基本块的数据流进行分析；

处理单元，对提取出的数据流进行优化；从所述基本块中按序选择ITL语句、赋值语句以及所述基本块内的最后一条指令，对三者中包含的多个变量分别进行细粒度数据流提取，得到补丁特征；利用Matcher对所述补丁特征进行多阶段匹配。

9.根据权利要求8所述的基于数据流分析的软件补丁检测装置，其特征在于，所述分析单元提取出的控制流以函数为单位，每个所述函数为包含节点为基本块，程序跳转为边的所述控制流。

Images