CN112394984B - 一种固件代码分析方法及装置 - Google Patents

Abstract

本发明公开了一种固件代码分析方法及装置，其中，该方法包括：预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。采用本发明能够快速准确对固件代码进行分析。

Description

一种固件代码分析方法及装置

技术领域

本发明涉及固件技术领域，特别涉及一种固件代码分析方法及装置。

背景技术

随着智能家居、车联网等的飞速发展，各种智能设备层出不穷，固件的数量呈井喷式上涨，各种潜在安全问题、隐私问题也随之而来，因此大家对于固件的可靠性、安全性也有了更高的要求。掌握固件的逆向分析技术，不仅有助于新手了解固件的执行流程、所包含的功能，还有助于第三方个人/机构对固件进行安全漏洞检测、隐私数据泄露排查等工作。

然而现在市场上的固件标准不一，不同的厂商有各自的实现方式，架构也不尽相同，有x86架构的、有ARM架构的、有MIPS架构的，还有很多其他架构。因此，对于固件的逆向分析技术既有很大的需求又具有很强的挑战性。

目前对于固件的逆向分析，最主要的方案还是通过逆向分析人员，凭借他们的经验对固件程序的汇编代码进行逐句分析，最终形成对整个固件程序的理解。

对于依靠个人逆向分析人员进行的固件逆向分析方案有以下几个缺点：

一、对分析人员要求高

对于市面上的固件程序，如要进行分析，由于缺乏源码，我们只能通过汇编层代码对其进行分析。由于汇编代码相较高级语言晦涩难懂，而且不同架构的固件程序对应的汇编语言又不尽相同。因此，想要掌握市面上大部分固件就必须熟练掌握各种CPU架构对应的汇编语言。

二、分析所需耗时久、成本高

相较于高级语言，汇编语言虽然每句更加简短，但每一条高级语言往往对应着多条汇编语言，而且在出现循环语句以及跳转语句等复杂语句时，对应的汇编语言会更加的复杂。因此，对其进行逆向分析需要固件逆向分析人员拥有足够的耐心以及花费大量的时间从海量的汇编代码中找出相互的联系，从而理清固件的相关信息，这无疑会增加很多成本。

发明内容

有鉴于此，本发明的发明目的是：能够快速准确分析固件代码。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明提供了一种固件代码分析方法，该方法包括：

预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；

当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。

本发明还提供了一种固件代码分析装置，该装置包括：

训练模块，预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；

处理模块，当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。

由上述的技术方案可见，本发明实施例公开了一种固件代码分析方法，该方法包括：预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。与现有技术相比，由于本发明利用了基于离散特征的朴素贝叶斯算法模型，能够快速准确的获取固件汇编代码对应的高级语言或描述性语言语句。

附图说明

图1为本发明实施例提出的一种固件代码分析方法的流程示意图。

图2为本发明实施例提出的一种固件代码分析装置的结构示意图。

具体实施方式

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

现有固件逆向分析方案高度依赖于逆向分析人员，需要发展新的能够减少对逆向分析人员经验依赖以及减少逆向分析人员工作量的方案。本发明的固件分析方案，先通过收集逆向分析人员平时工作中一定数量的固件汇编代码与高级语言或描述性语言语句的对应关系，形成数据集。在存储大量数据的情况下，依此训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型，用于后续分析汇编代码得到对应的高级语言或描述性语言语句。当需要对某固件代码进行逆向分析时，先生成汇编代码，然后输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。从而达到本发明分析固件代码的目的。

本发明提出一种固件代码分析方法，流程示意图如图1所示，该方法包括：

步骤11、预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型。

离散特征记录了程序执行过程中的一些特定操作行为，这些特征常常有明确的指代意义。

在具体场景中，固件汇编代码与高级语言或描述性语言语句的对应关系指的是，情况一、一条汇编代码对应一条高级语言或描述性语言语句；情况二、多条汇编代码对应一条高级语言或描述性语言语句；情况三、多条汇编代码对应多条高级语言或描述性语言语句。多种情况全文简称固件汇编代码与高级语言或描述性语言语句的对应关系。

其中，根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型，具体包括：

将数据集中的每一条数据作为训练集M个样本中的第i个样本，i∈M，M为自然数；

对于每一条数据，切割并识别每条数据的字段，得到每个样本至少一个离散特征词，形成离散特征词集合；所述离散特征词集合包括汇编代码字段、系统调用特征词及汇编指令序列关键常量；

对每一条数据的高级语言或描述性语言语句进行功能分类，形成类别集合；

计算每一离散特征词集合中每个离散特征词属于每个类别的概率，生成先验概率矩阵；

根据新加入数据集的每一条数据，计算每一离散特征词集合中每个离散特征词属于每个类别的概率，当同一类别有超过两组概率数据，则取每一离散特征词在各组概率的平均值，以更新先验概率矩阵，得到训练后的模型。

所述每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系是通过逆向分析得到的，在一个优选实施例中，该方法进一步包括：

将高级语言或描述性语言语句通过编译命令正向生成汇编代码；

将逆向分析和正向生成的相似度超过预定值的固件汇编代码与高级语言或描述性语言语句的对应关系作为数据集中的一条数据。

如此，存储到数据集中的每条数据都是优质数据，更有利于基于离散特征的朴素贝叶斯算法模型精准识别同类型汇编代码。

步骤12、当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。

其中，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句，具体包括：

将所述汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，切割并识别出各个离散特征词后，结合所述先验概率矩阵，获取所述汇编代码分到类别集合中各类别的概率，将概率最大的类别对应的高级语言或描述性语言语句，作为所述基于离散特征的朴素贝叶斯算法模型的输出。

在上述实施例中是需要对一固件代码进行分析，在一个优选实施例中，当需要对一固件进行分析时，该方法进一步包括：

根据所述固件获取固件文件类型、潜在的根文件元数据、编译基于的平台；

根据所述固件文件类型和潜在的根文件元数据提取出固件文件系统；

根据所述固件文件系统确定固件代码。

在一个优选实施例中，当需要对一固件代码进行分析时，如果所述固件汇编代码为固件汇编代码段，则，将所述固件汇编代码段切分为多条汇编代码分别输入到所述基于离散特征的朴素贝叶斯算法模型；通过所述基于离散特征的朴素贝叶斯算法模型分别得到相应的各条高级语言或描述性语言语句后，将各条高级语言或描述性语言语句进行连接，生成基于高级语言或描述性语言语句的程序结构流图。从而能够实现自动化梳理固件程序函数关系的能力。

至此完成了本发明的固件代码分析方法，与现有技术相比，能够快速准确地对固件代码进行分析。

为清楚说明本发明，下面列举具体场景进行说明。

一、首先，收集逆向分析人员的逆向分析成果存入数据集，数据集的一部分数据如表1所示。

表1

表1中，每一条数据具有相应的编译平台，以及相应的离散特征词集合，最重要的是存储有固件汇编代码与高级语言或描述性语言语句的对应关系。在本发明优选实施例中，数据集中存储的每一条数据都是优质数据，即将逆向分析和正向生成的相似度超过90％的固件汇编代码与高级语言或描述性语言语句的对应关系作为数据集中的一条数据。如此更有利于基于离散特征的朴素贝叶斯算法模型精准识别同类型汇编代码。

然后，根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型。加入数据集中的数据越多，训练的模型识别能力越高。

二、当有新的固件需要分析时，处理分析流程如下：

1、使用binutils等工具来分析固件特征信息：固件文件类型、潜在的根文件元数据、编译基于的平台(X86架构、ARM架构、MIPS架构等)。

2、使用binwalk等工具根据固件文件类型和潜在的根文件元数据提取出固件文件系统，根据固件文件系统确定固件代码，将固件代码生成汇编代码；

在本实施例中，汇编代码为汇编代码段，需要将汇编代码段切分为多条汇编代码分别输入到训练好的基于离散特征的朴素贝叶斯算法模型。

3、将2中的每条汇编代码分别输入到基于离散特征的朴素贝叶斯算法模型，进行识别并分割，最后得到每条汇编代码对应的高级语言或描述性语言语句。例如表2中的汇编代码进入基于离散特征的朴素贝叶斯算法模型会匹配到一个概率最大的汇编代码分类，对比训练集中的样本即可找出对应的高级语言或者描述性语言语句。

表2

表2为汇编代码与对应高级语言示例。

4、对切分后的多条汇编代码进行基于完整汇编代码程序流程的连接，生成基于高级语言或者描述性语言语句的程序结构流图。从而能够实现自动化梳理固件程序函数关系的能力。

基于相同的发明构思，本发明实施例提出了一种固件代码分析装置，其结构示意图如图2所示，该装置包括：

训练模块201，预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；

处理模块202，当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句。

所述训练模块201，具体用于：

将数据集中的每一条数据作为训练集M个样本中的第i个样本，i∈M，M为自然数；

对于每一条数据，切割并识别每条数据的字段，得到每个样本至少一个离散特征词，形成离散特征词集合；所述离散特征词集合包括汇编代码字段、系统调用特征词及汇编指令序列关键常量；

对每一条数据的高级语言或描述性语言语句进行功能分类，形成类别集合；

计算每一离散特征词集合中每个离散特征词属于每个类别的概率，生成先验概率矩阵；

根据新加入数据集的每一条数据，计算每一离散特征词集合中每个离散特征词属于每个类别的概率，当同一类别有超过两组概率数据，则取每一离散特征词在各组概率的平均值，以更新先验概率矩阵，得到训练后的模型。

所述每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系是通过逆向分析得到的，所述训练模块201，还用于：

将高级语言或描述性语言语句通过编译命令正向生成汇编代码；

将逆向分析和正向生成的相似度超过预定值的固件汇编代码与高级语言或描述性语言语句的对应关系作为数据集中的一条数据。

所述处理模块202，具体用于：

将所述汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，切割并识别出各个离散特征词后，结合所述先验概率矩阵，获取所述汇编代码分到类别集合中各类别的概率，将概率最大的类别对应的高级语言或描述性语言语句，作为所述基于离散特征的朴素贝叶斯算法模型的输出。

当需要对一固件进行分析时，所述处理模块202，还用于：

根据所述固件获取固件文件类型、潜在的根文件元数据、编译基于的平台；

根据所述固件文件类型和潜在的根文件元数据提取出固件文件系统；

根据所述固件文件系统确定固件代码。

当需要对一固件代码进行分析时，所述固件汇编代码为固件汇编代码段，则，

所述处理模块202，将所述固件汇编代码段切分为多条汇编代码分别输入到所述基于离散特征的朴素贝叶斯算法模型；

通过所述基于离散特征的朴素贝叶斯算法模型分别得到相应的各条高级语言或描述性语言语句后，将各条高级语言或描述性语言语句进行连接，生成基于高级语言或描述性语言语句的程序结构流图。

综上，本发明的有益效果为：

一、本发明在存储大量数据的情况下，利用基于离散特征的朴素贝叶斯算法模型，能够快速准确对固件代码进行分析，得到对应的高级语言或描述性语言语句。

二、本发明对切分后的多条汇编代码进行基于完整汇编代码程序流程的连接，生成基于高级语言或者描述性语言语句的程序结构流图。从而能够实现自动化梳理固件程序函数关系的能力。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种固件代码分析方法，其特征在于，该方法包括：

预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；

当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句；

其中，根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型，具体包括：

将数据集中的每一条数据作为训练集M个样本中的第i个样本，i∈M，M为自然数；

对于每一条数据，切割并识别每条数据的字段，得到每个样本至少一个离散特征词，形成离散特征词集合；所述离散特征词集合包括汇编代码字段、系统调用特征词及汇编指令序列关键常量；

对每一条数据的高级语言或描述性语言语句进行功能分类，形成类别集合；

计算每一离散特征词集合中每个离散特征词属于每个类别的概率，生成先验概率矩阵；

根据新加入数据集的每一条数据，计算每一离散特征词集合中每个离散特征词属于每个类别的概率，当同一类别有超过两组概率数据，则取每一离散特征词在各组概率的平均值，以更新先验概率矩阵，得到训练后的模型；

其中，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句，具体包括：

将所述汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，切割并识别出各个离散特征词后，结合所述先验概率矩阵，获取所述汇编代码分到类别集合中各类别的概率，将概率最大的类别对应的高级语言或描述性语言语句，作为所述基于离散特征的朴素贝叶斯算法模型的输出；

其中，当需要对一固件代码进行分析时，所述固件汇编代码为固件汇编代码段，则，将所述固件汇编代码段切分为多条汇编代码分别输入到所述基于离散特征的朴素贝叶斯算法模型；

通过所述基于离散特征的朴素贝叶斯算法模型分别得到相应的各条高级语言或描述性语言语句后，将各条高级语言或描述性语言语句进行连接，生成基于高级语言或描述性语言语句的程序结构流图。

2.如权利要求1所述的方法，其特征在于，所述每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系是通过逆向分析得到的，该方法进一步包括：

将高级语言或描述性语言语句通过编译命令正向生成汇编代码；

将逆向分析和正向生成的相似度超过预定值的固件汇编代码与高级语言或描述性语言语句的对应关系作为数据集中的一条数据。

3.如权利要求1所述的方法，其特征在于，当需要对一固件进行分析时，该方法进一步包括：

根据所述固件获取固件文件类型、潜在的根文件元数据、编译基于的平台；

根据所述固件文件类型和潜在的根文件元数据提取出固件文件系统；

根据所述固件文件系统确定固件代码。

4.一种固件代码分析装置，其特征在于，该装置包括：

训练模块，预先存储包括多条数据的数据集，每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系；根据所述数据集训练基于离散特征的朴素贝叶斯算法模型，更新先验概率矩阵，得到训练后的模型；

处理模块，当需要对一固件代码进行分析时，将所述固件代码生成汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，得到对应的高级语言或描述性语言语句；

所述训练模块，具体用于：

将数据集中的每一条数据作为训练集M个样本中的第i个样本，i∈M，M为自然数；

对于每一条数据，切割并识别每条数据的字段，得到每个样本至少一个离散特征词，形成离散特征词集合；所述离散特征词集合包括汇编代码字段、系统调用特征词及汇编指令序列关键常量；

对每一条数据的高级语言或描述性语言语句进行功能分类，形成类别集合；

计算每一离散特征词集合中每个离散特征词属于每个类别的概率，生成先验概率矩阵；

根据新加入数据集的每一条数据，计算每一离散特征词集合中每个离散特征词属于每个类别的概率，当同一类别有超过两组概率数据，则取每一离散特征词在各组概率的平均值，以更新先验概率矩阵，得到训练后的模型；

所述处理模块，具体用于：

将所述汇编代码输入到所述基于离散特征的朴素贝叶斯算法模型，切割并识别出各个离散特征词后，结合所述先验概率矩阵，获取所述汇编代码分到类别集合中各类别的概率，将概率最大的类别对应的高级语言或描述性语言语句，作为所述基于离散特征的朴素贝叶斯算法模型的输出；

当需要对一固件代码进行分析时，所述固件汇编代码为固件汇编代码段，则，

所述处理模块，将所述固件汇编代码段切分为多条汇编代码分别输入到所述基于离散特征的朴素贝叶斯算法模型；

通过所述基于离散特征的朴素贝叶斯算法模型分别得到相应的各条高级语言或描述性语言语句后，将各条高级语言或描述性语言语句进行连接，生成基于高级语言或描述性语言语句的程序结构流图。

5.如权利要求4所述的装置，其特征在于，所述每条数据包含固件汇编代码与高级语言或描述性语言语句的对应关系是通过逆向分析得到的，所述训练模块，还用于：

将高级语言或描述性语言语句通过编译命令正向生成汇编代码；

将逆向分析和正向生成的相似度超过预定值的固件汇编代码与高级语言或描述性语言语句的对应关系作为数据集中的一条数据。

6.如权利要求4所述的装置，其特征在于，当需要对一固件进行分析时，所述处理模块，还用于：

根据所述固件获取固件文件类型、潜在的根文件元数据、编译基于的平台；

根据所述固件文件类型和潜在的根文件元数据提取出固件文件系统；

根据所述固件文件系统确定固件代码。

Images