[发明专利]计算机二进制程序的链接库函数名识别方法及装置

说明书

本发明提供一种计算机二进制程序的链接库函数名识别方法及装置，所述方法包括：收集静态链接库；对收集的静态链接库进行归档整理；将训练好的机器学习模型编写为IDA插件并在IDA中加载使用；IDA接收用户输入的可疑恶意二进制程序，IDA调用所述将训练好的机器学习模型编写的IDA插件进行自动化分析、检测，并将检测结果在IDA界面中显示。根据本发明的方案，便于逆向分析人员针对性分析未知的恶意软件功能函数；能够在静态链接库不充分的情况下，由训练好的机器学习模型主动辨别静态链接库函数和恶意程序的功能函数，能够提高静态链接库函数识别的准确率，避免攻击者恶意构造与静态库函数签名一致的恶意函数而无法识别恶意程序。

技术领域

本发明涉及计算机安全领域，尤其涉及一种计算机二进制程序的链接库函数名识别方法及装置。

背景技术

随着互联网技术的持续发展，人们越来越广泛的使用计算机、互联网处理信息，随之而来的，以网络蠕虫、计算机病毒和特洛伊木马等形式存在的恶意软件对信息的安全构成了重大威胁。甚至出现恶意软件，由黑客利用它来破坏并获取敏感信息，对信息安全造成严重危险。

通常通过识别和分析恶意软件，即通过逆向工程的手段来分析恶意程序来达到准确检测查杀恶意软件的目的。为了应对杀毒软件的检测，恶意软件往往通过去除符号表，并加上静态链接等方法，混淆恶意程序调用的库函数和恶意软件的功能函数，加大了对恶意程序的分析难度，使得安全分析人员在分析恶意程序时，需要花费大量的时间来区分库函数和恶意软件的功能函数。

为解决上述问题，如图1所示， IDA Pro的插件FLIRT通过建立一个标准库函数数据库，通过遍历比较函数签名来确定未知函数是库函数还是恶意软件的功能函数。首先将收集到的标准库函数签名存储到标准库函数签名数据库中，然后对于标准库中的函数签名建立树形结构数据库，建立树形结构数据库如图2所示。当用户向IDA输入可疑二进制程序进行分析时，IDA遍历检查被反汇编的文件的每一个字节是否可以标记标准库函数的开始，最终产生检查结果并在IDA中显示，以帮助逆向分析人员进行分析。图2中划分子树的方式可以为:

例如现有4个函数签名，分别为

558BEC0EFF7604..........59595DC3558BEC0EFF7604..........59595DC3_registerbgidriver、558BEC1E078A66048A460E8B5E108B4E0AD1E9D1E980E1C0024E0C8A6E0A8A76 _biosdisk、558BEC1EB41AC55604CD211F5DC3.................................._setdta、558BEC1EB42FCD210653B41A8B5606CD21B44E8B4E088B5604CD219C5993B41A _findfirst。

其中，变体字节显示为“…”，这4个函数签名以相同的558BEC开头，作为一个分组，划分子树如图3所示。

IDA Pro的实现方式被广大逆向分析人员接受和使用，但该实现方式存在以下问题：（1）该实现方式也没有存储所有的静态库签名文件，需要用户提供额外所需的静态库签名文件，另外，其采用的函数签名出现不同函数但函数签名一致的情况，即造成签名碰撞，如果攻击者利用签名碰撞现象，恶意构造与静态库函数签名一致的恶意函数，将导致逆向分析人员略过对该恶意函数的检测，造成漏检，可能产生严重后果；（2）该实现方式对一些函数名字开头相同但实际功能不同的函数无法准确判断。

发明内容

为解决上述技术问题，本发明提出了一种计算机二进制程序的链接库函数名识别方法及装置，所述方法及装置，用以解决现有技术中攻击者利用签名碰撞现象，恶意构造与静态库函数签名一致的恶意函数而无法识别、对一些函数名字开头相同但实际功能不同的函数无法准确判断的技术问题。

根据本发明的第一方面，提供一种计算机二进制程序的链接库函数名识别方法，所述方法包括以下步骤：