CN113076545A - 一种基于深度学习的内核模糊测试序列生成方法 - Google Patents

Abstract

本发明涉及人工智能领域的深度学习，特别是涉及对系统调用序列的学习。本发明的内容包括：数据收集与处理、模型构建、模型训练、模型评估、序列生成。数据收集与处理包括：首先收集带参数的系统调用序列和trace格式的序列，然后将这些序列编码为适合模型训练的输入数据。模型构建包括：选取RNN和LSTM神经网络模型，确定网络结构为输入层，隐藏层和输出层。模型训练包括：对输入数据分批，初始化网络参数，计算损失函数的值以调整网络参数。模型评估包括：计算测试序列数据和预测序列的归一化编辑距离。序列生成包括：随机选取初始系统调用和序列长度，依据训练所得模型生成整数序列并解码为系统调用序列。生成的序列将作为内核模糊测试的输入，以提升漏洞挖掘的效率。其流程如图1所示。

Description

一种基于深度学习的内核模糊测试序列生成方法

技术领域

本发明涉及人工智能领域的深度学习，特别是涉及对系统调用序列的学习。具体将处理后的系统调用序列作为神经网络的输入，对其进行训练得到模型，进而利用模型生成新的系统调用序列。后续将生成的系统调用序列作为内核模糊测试的输入，以此提升内核模糊测试的效率。

背景技术

现代操作系统内核把虚拟地址空间分成两部分，一部分是用户空间另一部分是内核空间。浏览器、视频播放器等应用运行在用户空间；操作系统代码如进程管理、内存管理等运行在内核空间。出于安全的目的，这种设计使得用户空间程序不得直接访问和执行内核空间的数据和代码。而系统调用正是用户和内核进行交互的方式，通过这种方式既可以保护内核空间，又可以让用户轻松获取操作系统提供的底层服务。一般来说，用户一次简单的操作是由多个系统调用共同完成，这些系统调用组成了系统调用序列。一条系统调用序列包含了操作系统执行这次操作的完整信息。

自从AlexNet(深度学习方法)在2012年大规模图像识别大赛ILSVRC中以压倒性优势胜出以来，深度学习受到大量的关注。无论是在目标识别，还是机器翻译，抑或是自然语言处理等诸多领域，深度学习都取得了很多成果。使用传统的机器学习方法来人工提取特征复杂度高的数据，不仅工作量大易出错，还存在着算法准确度低的问题。而深度学习能够通过深层次的神经网络自发学习数据特征，且效果良好，有效地解决了机器学习存在的问题。系统调用序列中存在丰富复杂的上下文信息，且序列数量较多。系统调用之间也存在对应的依赖性，如在调用write之前需要先调用open打开一个文件。如果使用机器学习的方法人工定义序列特征变得极为困难，所以可以将神经网络和系统调用序列学习进行结合，从而完成系统调用序列生成任务。

生成的系统调用序列可以作为操作系统内核模糊测试的种子。内核模糊测试是一种漏洞挖掘的技术，其通过执行系统调用序列查看内核是否产生异常来判断是否存在漏洞。通常情况下，内核模糊测试器在执行序列之前反复对系统调用序列进行变异以达到更高的代码覆盖率(即触发更多的代码路径)。越高的代码覆盖率即可发现越多的隐藏漏洞。因此，通过深度学习的方法对系统调用序列进行训练，可以获得生成高质量序列的模型。进一步把生成的序列作为模糊测试的输入，提升模糊测试的效率。

发明内容

本发明是一种利用深度学习技术进行系统调用序列生成的方法。生成的系统调用序列可以作为模糊测试的输入以提升漏洞挖掘的效率。本发明的技术方案如图1所示：第一，收集系统调用序列数据，收集途径包括两种：一种是直接收集带参数的系统调用序列，另一种是先收集内核测试程序再对其转换；第二，对收集的系统调用序列进行处理，将其编码为适合模型训练的输入数据；第三，进行模型的构建，选取合适的神经网络，如循环神经网络(RNN，Recurrent Neural Network)、长短时记忆神经网络(LSTM，Long Short-TermMemory)，构建对应的网络结构使得其不仅能有效利用输入数据进行训练得到合理输出，更能捕获系统调用之间的顺序依赖；第四，进行模型的训练，将训练集分成多个批次输入给神经网络，根据每一次训练结束后的损失函数值不断更新神经网络中的权重参数和偏置参数，直到最终损失函数的值小于设定的阈值；第五，进行模型的评估，把归一化的编辑距离定义为模型评估指标；第六，利用模型生成系统调用序列，随机地选取初始系统调用和确定序列的长度，依据训练所得模型生成序列。后续将生成的序列作为模糊测试的输入。具体内容如下：

1.数据收集

为了得到能够生成高质量序列的模型，需要收集大量的系统调用序列，然后将其作为神经网络的输入进行训练。本发明采用两种序列收集方法，具体如下：

(1)从模糊测试器提供的序列数据库中获取。内核模糊测试器提供的序列是能够直接触发Bug的系统调用集合，包括具体的系统调用和对应的函数参数以及返回值，格式如图2。所以首先可以通过模糊测试器维护的数据网站获取这些触发内核Bug的系统调用序列。

(2)从Linux内核测试程序中收集。通过Strace(用来跟踪Linux用户空间进程和内核的交互，可以获取执行的系统调用)在Linux Testing Project,Linux Kernelselftests,Open Posix Test Suite,Glibc Testsuite测试程序中收集对应的系统调用序列，格式如图3。

由于收集到的内核测试程序序列无法用于后续的深度学习模型训练，因此需要先将其转换成带有参数的系统调用序列，再进一步处理。

2.数据处理

由于收集所得的系统调用序列格式如图2，包含系统调用名和对应的参数以及返回值，主要为文本信息无法直接用作神经网络的训练。因此对收集的系统调用序列采取如下的处理措施：

(1)对带参数的序列进行预处理，提取其中的系统调用，丢弃对应的参数和返回值，得到仅包含纯系统调用的序列。

(2)对经过(1)处理的系统调用序列进行编码。现代Linux操作系统中，每个内核版本的每个系统调用都对应一个系统调用号，如Linux 5.11中文件写入系统调用write对应的系统调用号为1。将序列中的系统调用编码为对应的系统调用号。

处理完成后，文本格式的带参数和返回值的系统调用序列转换为数字序列，每个数字对应一个特定的系统调用。

3.模型构建

人工分析系统调用序列的模式存在工作量大，效果差的问题。若使用传统机器学习的方法，又无法提前构思合适准确的特征量来描述序列调用之间的依赖。因此本发明采用深度神经网络进行系统调用模式的学习。其中模型的构建包括以下两个部分：

(1)神经网络：本发明采用循环神经网络RNN和长短时记忆神经网络LSTM来构建深度神经网络。系统调用序列模式的学习主要是探究序列中系统调用之间的依赖以及固定的短序列模式。RNN的循环结构允许信息的传递，这种链式特征确保保留了信息的依赖性，和序列存在一定程度的契合。同时LSTM解决了RNN的长期依赖问题。因此使用RNN和LSTM能够对系统调用序列进行学习训练。

(2)网络结构：整个模型包括输入层，隐藏层和输出层。将系统调用序列编码后先输入给神经网络的输入层。接着传递给隐藏层，迭代式地对数据进行运算。最后将隐藏层数据结果传递到输出层，经过激活函数后进行输出。输出结果经由损失函数地计算后反馈调节神经网络参数。

因此，根据系统调用序列的特征选择RNN和LSTM构建神经网络，整个网络结构分为输入层，隐藏层，输出层共3层。

4.模型训练

模型训练包括将输入数据分批，初始化神经网络参数，计算损失函数的值并调整网络参数3个部分，具体如下：

(1)输入数据分批。之所以对输入数据进行分批训练，主要考虑到后续损失函数的计算。因为用全部样本来计算损失函数的值，会导致计算过程会占用很长时间，严重影响模型训练的效率。因此将训练集输入划分为若干批次，每批拥有相同数量的数据，每次训练把当前批次的数据作为全部数据的近似。

(2)初始化网络参数。首先设置每批数据的大小，进行mini-batch学习；然后初始化神经网络每层的权重和偏置值，权重表示了不同输入数据的重要程度，偏置值则是调整神经元被激活的容易程度(将该输入传递给下层网络结构的难易程度)；然后设置三层网络结构的激活函数，在激活函数方面选择非线性函数，这样做保证了神经网络的非线性，避免了多层叠加网络结构的无效性；设置Dropout值来随机的删除隐藏层神经网络节点，避免出现训练模型过拟合状态；设置损失函数为交叉熵损失函数，并设置对应的训练结束阈值。

(3)计算损失函数的值以调整网络参数。每轮训练开始前按照设定的Batch size选取对应大小的数据，训练完成后依据神经网络的输出和监督数据计算损失函数的值，若该值小于设定的阈值则结束训练，否则调整网络参数继续训练。

5.模型评估

模型评估时利用划分出来的测试数据衡量模型的泛化能力。广泛应用的模型评估指标主要包括准确性，一致性等。对于本发明而言，后续生成的序列要应用到模糊测试，所以在评估模型时，不需要通过确保模型生成序列和测试序列完全一致来计算评估指标。因为不同的序列可以触发不同的代码路径，可能发现不同的漏洞。因此，本发明引入归一化的编辑距离作为序列模型的评估指标，用于表示模型生成序列和测试序列的差异性。归一化的编辑距离计算方式如公式：

其中EditDistance(s1,s2)表示通过插入，删除，替换操作将序列s1转换成s2所需要的最少次数，MaxLength(s1,s2)表示序列s1和s2长度的最大值。

6.序列生成

在序列生成时，首先定义好符合规则的初始系统调用集合，该集合中不包括write等需要前置操作的调用；然后从集合中随机选取系统调用作为序列的初始系统调用，同时随机确定序列的长度：接着将初始系统调用输入给模型，以序列长度为限制条件，执行序列生成过程；最终得到系统调用序列。

附图说明

图1：系统流程图

图2：带参数的系统调用序列示例图

图3：Trace格式系统调用序列示例图

具体实施方式

本发明的硬件环境主要是一台GPU型号为GeForce GTX 1080 Ti的服务器。软件实现以ubuntu 16.04为平台，在Pycharm编辑器环境下采用python语言开发。基于的开源人工神经网络库是Keras。Keras本身是高级神经网络API，能以Tensorflow，CNTK，或者Theano作为后端运行。其本身支持包含RNN和LSTM在内的多种神经网络模型和算法，能够满足本发明实施需要。具体实施过程主要分为四个部分：数据收集与处理，模型构建与训练，模型评估，序列生成。具体如下：

1.数据收集与处理

本发明数据一部分来源于内核模糊测试工具Syzkaller维护的Bug数据网站，该网站上面包含了触发Bug的系统调用序列。本发明收集了其中Linux内核相关的序列，总计19311条。本发明数据另一部分来源于Linux内核测试序列，总计3525条。序列数据处理算法包括如下几个部分：

转换：由于Linux内核测试序列格式如图3所示，因此先使用Syzkaller提供的trace2syz工具将Trace转换为带参数的系统调用序列格式，如图2所示；

提取：提取带参数的序列里的系统调用，舍去其中的参数和操作码得到纯系统调用序列；

划分：将数据按照8：2的比例划分为训练数据和测试数据；

编码：对序列数据进行编码，编码方式是将系统调用映射为系统调用号；

以图2所示为例说明数据处理的提取和编码过程：经过提取操作后，原序列变为mmap madvise madvise socket getsockopt madvise。编码完成后，序列变为9 28 28 4155 28。可以将该整数序列作为神经网络的输入。

2.模型构建与训练

本发明借助开源人工神经网络库Keras进行模型的构建和训练。Keras中的models、layers、utils、preprocessing.sequence等模块拥有强大的函数功能，能够给完成模型构建和训练整个过程。具体实施如下：

构建模型：先通过调用models库中的Sequential()方法创建顺序模型，顺序模型是多个网络层的线性堆叠。然后调用LSTM()构造LSTM模型，模型参数包括每层网络节点个数和输入数据的维度和序列长度。其中每层网络节点个数256；输入数据的维度是1维；输入序列长度定义为10，该长度值的设定建立在对序列长度分布的分析基础上，本发明发现有90％的Bug触发序列长度都在10以下。接着调用Dense()构造输出层，输出层的维度定义为系统调用的总个数，激活函数定义为softmax。因为做序列预测可以看作一个分类任务，每一个系统调用表示一个类，因此使用softmax作为输出层的激活函数。最后调用add()将LSTM模型和输出层添加到顺序模型中，其余参数设定为默认值，完成模型的构建。

编译模型：模型编译主要包括选择损失函数，设置优化器等，具体编译方法通过调用compile()实现。编译时设定损失函数为交叉熵损失函数categorical_crossentropy，该函数克服了神经网络的权重和偏执参数更新慢的不足。优化器选择Adam，其优势在于计算效率高，内存消耗少。

模型训练：调用fit()函数设置模型训练参数进行训练。其中epochs设置为100，表示对输入数据训练100遍；batch_size设置为默认值，表示每次训练以及计算损失函数选取的数据量；verbose设置为2，表示每轮训练后都进行输出。

本发明按照以上步骤完成模型的构建和训练过程。

3.模型评估

本发明使用归一化的编辑距离进行模型的评估。具体通过自定义评价函数NormalizedEditDistance来实现。NormalizedEditDistance函数以(y_true,y_pred)为输入，计算归一化的编辑距离后，将该值以张量的形式返回。其中y_true表示真实值，y_pred表示预测值，两者是相同尺寸的张量。最后将自定义评价函数作为参数传入模型编译函数compile即可。

4.序列生成

本发明将序列生成过程分成了4个步骤，分别是定义符合规则的初始系统调用集合，随机选取系统调用和确定序列长度，迭代式地进行序列生成，将整数序列解码为系统调用调用序列，具体如下：

定义符合规则的初始系统调用集合：在执行序列生成前，需要指定初始系统调用以进行后续序列地生成。而初始系统调用地选择上要避免例如write这类需要前置操作的系统调用，因此将初始系统调用集合定义为所有不需前置操作和条件的系统调用。

随机选取系统调用和确定序列长度：序列生成以初始系统调用为输入，以序列长度为限制条件。因此首先从集合中随机选取初始系统调用。而在设置序列长度时，考虑到生成的序列后续用于模糊测试，因此将最大序列长度设置为10，否则影响模糊测试的效率。生成序列时每次选取1-10的随机数作为当前序列的长度。

迭代式地进行序列生成：首先序列生成模型以初始系统调用为依据执行下一系统调用的预测；预测完成后将预测值添加到初始系统调用之后组成序列；模型再以当前的序列为输入继续执行上述过程，直到序列长度达到设定值。

将整数序列解码为系统调用序列：由于模型输出的是整数序列，因此需要将整数序列解码为系统调用序列，最终完成序列生成过程。

Claims (6)

1.一种基于深度学习的内核模糊测试序列生成方法，其步骤如下：

(1)数据的收集与处理，包括收集带参数的系统调用序列和trace格式的序列，处理序列数据使其符合神经网络的输入格式；

(2)模型的构建，选取适合提取系统调用依赖的网络模型，并确定网络结构；

(3)模型的训练，对输入数据分批，初始化网络参数，计算损失函数的值以调整网络参数；

(4)模型的评估，采用归一化的编辑距离作为评估指标，表明测试序列和预测序列的相似性；

(5)序列的生成，利用训练好的模型进行序列生成。后续将生成的序列作为内核模糊测试的输入。

2.根据权利要求1所述的本发明所需的数据，需要执行如下过程：

(1)从Syzkaller维护的Bug数据网站收集带参数的系统调用序列，从Linux内核测试程序收集trace格式序列，并将trace格式序列先转换为带参数的序列；

(2)删除参数得到纯系统调用序列；

(3)对序列进行编码，将系统调用映射为系统调用号。

3.根据权利要求1所述的针对系统调用序列的模型，其具有以下特征：

(1)使用传统机器学习无法提前构思合适准确的特征量来描述序列调用之间的依赖，因此本发明采用循环神经网络RNN和长短时记忆神经网络LSTM，两者的递归循环结构能够保留信息的关联性，广泛用于序列训练；

(2)整个模型包括输入层，隐藏层和输出层，将系统调用序列编码后先输入给神经网络的输入层，接着传递给隐藏层迭代式地对数据进行运算，最后将隐藏层数据结果传递到输出层，经过激活函数后进行输出，输出结果经由损失函数地计算后反馈调节神经网络参数。

4.根据权利要求1所述的针对模型的训练，主要特征包括：

(1)对输入数据进行分批，设置Batch大小，每次训练把当前批次的数据作为全部数据的近似来计算损失函数；

(2)初始化网络参数，先构造LSTM模型，将隐藏层中每层网络节点个数设置为256，输出层的激活函数定义为softmax，输入层的维度是1维，输出层的维度定义为系统调用的总个数，其余参数设置为默认值；

(3)设置训练epochhs为100，表示对输入数据进行100轮训练，每次训练接受后都计算并输出损失函数的值，如果小于设定的阈值则推出训练，否则调整网络参数。

5.根据权利要求1所述的模型评估，其特征如下：

(1)采用归一化的编辑距离作为序列训练的评估指标；

(2)该评估指标表明测试序列和预测序列的相似性。

6.根据权利要求1所述的序列生成，其步骤包括：

(1)定义符合规则的初始系统调用集合，初始系统调用作为序列生成过程的输入，要避免出现例如write这类需要前置操作的系统调用；

(2)确定序列长度，将序列长度作为序列生成的限制条件，如果在执行序列生成时当前序列的长度已达到设定的序列长度阈值则结束生成过程；

(3)迭代式的进行序列生成，从初始系统调用开始利用模型进行下一系统调用的预测，并将结果添加到初始调用之后组成新的输入，继续上述过程直到序列长度达到设定值；

(4)将预测的整数序列解码为系统调用序列，完成序列生成过程。

Images