[发明专利]基于导出函数的PE文件相似性比对方法

说明书

本发明涉及一种基于导出函数的PE文件相似性比对方法，属于软件二进制代码溯源分析技术领域。该比对方法通过PE文件解析，提取并比对PE文件“导出函数”，完成了PE文件相似性比对和相似度计算。该方法主要是为Windows操作系统下可执行程序、动态链接库、ActiveX控件等PE格式二进制文件溯源提供技术手段，具有良好的鲁棒性、较高的准确性和可用性。

技术领域

本发明属于软件二进制代码溯源分析技术领域，具体涉及一种基于导出函数的PE文件相似性比对方法。

背景技术

软件代码溯源分析是开展软件组成和自主性分析的重要手段。软件代码溯源分析的核心和关键是代码相似性比对技术。代码溯源分析包括源代码溯源和二进制代码溯源两种方法。软件源代码是按照程序设计语言规范书写的文本文件，是一系列人可读的计算机语言指令，源代码溯源方法已经非常成熟。然而，商业软件普遍采用“闭源”方式，只提供编译后的二进制代码，软件源代码通常无法获取，从而无法通过源代码相似性比对，实现目标软件和商业“闭源”软件的溯源。

PE(PortableExecute)文件是Windows下编译后二进制代码文件的总称，常见的有可执行程序(*.exe),动态链接库(*.dll)，ActiveX控件(*.ocx)等。商业“闭源”软件大多将软件核心功能和关键算法封装成可执行程序、动态链接库或ActiveX控件等PE文件，对外仅提供调用接口，而不开放源代码，从而起到保护软件的目的。

PE文件通常都无法反编译出源代码，只能反汇编出汇编代码。基于PE文件反汇编后的汇编代码溯源存在较大问题，如同一份软件源代码经过不同编译器或编译选项后得到PE文件，再经过反汇编得到的汇编代码就存在不同程度的差异；软件源代码在编译过程中往往会链接许多公共库代码，反汇编后会增加许多代码量，这无疑会给基于汇编代码的软件溯源造成巨大干扰。

“导出函数”是可执行程序、动态链接库或ActiveX控件等PE文件向外暴露的调用接口，一般不会随着编译器或编译选项的变化而变化，而且软件厂商为了保持可执行程序、动态链接库或ActiveX控件的兼容性，在软件更新升级过程中，也会保持对外接口的稳定性。基于导出函数的PE文件相似性比对方法就是将“导出函数”作为可执行程序、动态链接库或ActiveX控件等PE文件的表征特性，通过比对“导出函数”的相似性，实现PE文件相似性比对，进而实现PE文件溯源。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何提供一种PE文件相似性比对方法，为windows操作系统下可执行程序、动态链接库、ActiveX控件等PE格式二进制文件溯源提供技术手段，解决无法通过源代码溯源“闭源”软件的问题。

(二)技术方案

为了解决上述技术问题，本发明提供了一种基于导出函数的PE文件相似性比对方法，该方法中，包括以下步骤：

第一步、按照PE文件组织结构解析PE文件；

第二步、基于第一步从PE文件中解析获取“导出函数”列表；

第三步、基于第二步求取两个PE文件的公共“导出函数”列表；

第四步、基于第三步计算PE文件相似度。

优选地，第二步中，按照PE文件组织结构，按照顺序解析MS-DOS头、PE头、节表、节这些内容。

优选地，第二步中，按照顺序对MS-DOS头、PE头、节表、节进行解析，具体过程如下：

(1)MS-DOS头：所有PE文件都以MS-DOS头开始，这是一个IMAGE_DOS_HEADER结构，MS-DOS包含两个域，一个是e_magic，包含字符串“MZ”；另一个是e_lfanew，用于定位PE头，DOS_STUB由汇编器或编译器自动生成，解析过程中直接跳过；