基于特征提取的二进制代码比较技术.pdf

基于特征提取的二进制代码比较技术 曾 鸣，赵荣彩1姚京松1王小芹2 (中国人民解放军信息工程大学计算机科学与技术系，郑州450002) 2(清华大学计算机科学与技术系，北京100084) E-mail：zengming_soft@163．con 摘要二进制代码比较技术在病毒变种分析、安全补丁分析、版本信息导出等许多领域都有着广泛的应用。在定义了 基于图的二进制代码描述方法的基础上．从函数和基本块两个层次对近似的二进制代码进行比较．分析出它们之间相同 的部分和差异信息。讨论了基于图的二进制文件特征的选取，利用特征比较和固定点传播算法，建立两份代码在函数和 基本块两个级别的对应关系。论文给出了这种基于特征提取的二进制代码比较技术的实现框架，并列举了它在恶意软件 变种分析．公开漏洞定位方面的利用实例。 关键词 二进制代码比较 函数控制流图 恶意软件分析 文献标识码A 中图分类号TP309 文章编号1002—833l一(2006)22—0008—04 Character-basedofExecutable Comparison 0bjects Zhao Yao ZengMin91 RongcailJingson91WangXiaoqin2 of PLAInformationand Science，the 450002) 1(DepartmentComputer EngineeringUniversity，Zhengzhou of 100084) 2(DepartmentComputerScience，TsinghuaUniversity，Beijing twodifferentbutsimilarexecutabletoshowtheir Abstract：Executable technology Objects objectscomparison compares differenceand canbeusedfor malware recoveredinformationbetweendifferent similarity．It analysing variants，porting in methodbasedoncharacter is inthisarticle． disassemblies，locatingchangessecurityupdates．A comparisonpresented Executableisdescribedtwokindsof ofanexecutableandcontrolflow offunctions． object by graph：callgraph graphs Charactersoffunctionsandbasicblocksaredefinedand fromthe ofnodesarelocatedand acquired graphs．Fixedpoint inthe are betweenthefunctionsandb