一种基于图程序行为相似性比较方法.docVIP

一种基于图的程序行为相似性比较方法 　　摘 要:针对目前的软件盗版现象,在没有软件源代码的情形下提出一种程序相似性的比较方法。该方法是运用程序系统调用之间的参数依赖关系组成依赖图,对程序行为进行描述;在此基础上定义了一种动态程序胎记,用它比较两个功能类似的应用程序。最后的试验数据表明,该方法能够有效地检测出相似程度不一的各组程序之间的相似度,具有一定的可信度和适用性。 　　关键词:软件剽窃; 图; 系统调用; 动态软件胎记; 相似性 　　中图分类号:TP311.5 　　文献标志码:A 　　 　　文章编号:1001-3695(2010)02-0532-05 　　doi:10.3969/j.issn.1001-3695.2010.02.036 　　 　　Approach for measuring software similarity based on graphs 　　 　　CHEN Hao, WANG Guang-nan, SUN Jian-hua 　　 　　(Dept. of Computer Science Technology, Institute of Computer Communication, University of Hunan, Changsha 410082,China) 　　 　　Abstract:View of software piracy, this paper proposed an approach for measuring software similarity without sourcecode. It created dependence graphs to specify relationships between system call arguments for describing program behavior, based on which defined an dynamic software birthmark. It could be used to measure the similarity of two same-purpose applications. Experimental results indicate that the approach is effective in detecting similarity between two programs in groups of varying degrees similar, which proves its certain degree of credibility and applicability. 　　Key words:software theft; graphs; system call; dynamic software birthmark; similarity 　　 　　0 引言 　　对越来越多的被剽窃的软件无源代码发布,程序动态胎记技术近年来在各项剽窃软件与源程序的相似性检测技术中逐渐成为一个研究热点。它主要是从表示程序运行时的动态行为的信息中提取程序特征,因此无需源代码,并且面对程序模糊或反编译等常见的剽窃痕迹隐藏技术能很好地保存原程序的特征信息[1]。在提取动态胎记的许多方法中,系统调用序列是经常被用到的一个[1~4]。因为其数目有限,且各操作系统的系统调用函数版本间变化非常小,对其进行分析,数量适中稳定;但是许多程序的系统调用序列由于其数量巨大,很多研究者并不考虑其参数而直接使用函数本身在程序运行时的执行次序或者出现的频率作为程序行为特征[1,2,4]。由于其程序特征提取不明显,只能适应于比较两个相似程度很大的程序,并且容易受到程序每次运行时系统调用执行次序差异的影响以及添入其他系统调用等伪装技术的攻击,尽管后者所花费的代价将很大。 　　程序行为不仅体现在不同系统调用间的先后次序上,即使同一个系统调用由于其所带参数的不同也会让程序表现大不一样,因此准确分析程序行为必须充分考虑系统调用参数。本文对于程序相似性研究的主要贡献在于挖掘系统调用参数之间的依赖关系[5],将这种关系用图来表示,这样能够比较准确地描述程序的行为特征。本文的主要内容有以下几点: 　　a)程序行为的图形化描述以及基于行为子图的程序特征胎记的提取。 　　b)程序相似性比较算法及两个程序相似度的定义。 　　c)性能测评实验对于本文所提出的方法可信度以及健壮性的证明。 　　1 关于程序胎记的一些概念 　　定义1 程序复制关系[1,2,6~8]。假设Prog是一组给定的程序集,令“≡cp”表示程序集Prog之间的相等关系,使得对于P,Q∈Prog,如果Q