基于划分二进制文件相似性比较方法.docVIP

基于划分二进制文件相似性比较方法 　　摘要：针对传统文件结构化相似性比较法中采用基本块（BB）一对一映射而造成的巨大时空消耗及基本块比较结果的绝对化问题，提出一种基于划分思想的文件结构化相似性比较方法。该方法首先对用于基本块比较的小素数积法进行改进，通过改进方法将函数内的基本块进行分类，再结合基本块签名与属性的权重求得基本块间的相似率，从而计算出最终的函数相似率及文件相似率。通过函数相似率比较实验分析，与未考虑划分思想的绝对化基本块比较算法相比，该方法在比较效率及准确率上均有所提升。实验结果表明，该方法在减少比较时间的同时提高了比较准确率，在实际二进制文件相似性比较的应用中更可行。 　　关键词：划分；基本块；小素数积法；签名；二进制文件 　　中图分类号： TP301.6 　　文献标志码：A 　　Abstract： Focusing on the huge consumption of time and space and the absolute comparison result of Basic Block （BB） resulted from onetoone mapping of basic block in traditional file structural similarity detection technique， a method based on dividing thought was proposed to accomplish structural comparison of binary file. Firstly， the small primes algorithm which is used to compare the basic block was improved to classify the basic blocks in a function， then the similar rates of basic blocks were obtained by combining with the weights of basic block signature and attribute， so as to get the final function similar rate and final file similar rate. In the comparison with the absolute comparison method which does not consider the partition at the similar rates of function， this proposed method has certain advantages in efficiency and accuracy. The experimental show that the proposed method improves the accuracy of comparison， and reduces the comparison time， it is more feasible in similarity comparison of binary files. 　　Key words： partition； Basic Block （BB）； small primes algorithm； signature； binary file 　　0引言 　　软件相似性检测是对软件版权同源性的度量，是判断一个文件的内容是否与其他文件相同或相似的检测技术， 常应用于知识产权的保护和信息检索等方面[1-4]。相似性检测手段可分为源码比对检测与二进制文件比对检测。源码比对在检测技术及方法上难度较低，且检测结果准确。然而在实际应用中，有时并不能直接获取文件源码，此时，二进制文件比对检测技术便成为文件相似性比较的重要研究方向[5-6]。 　　Flake[7]提出了结构化比对方法，将待比较文件F和F′中所有函数用控制流图来表示，通过比较两个图是否同构来建立函数之间一对一的映射，从而解决了由于缺乏语义分析造成的只能处理变化相对较少的文件比较问题；傅建明等[8]基于函数控制流图邻接矩阵的函数一元结构签名及指令不同级别签名，提出了融合签名和属性的函数匹配算法及基本块（Basic Block， BB）匹配算法，从而简化了已有指令比较，提高了比较效率；窦增杰等[9]提出了一种简化汇编语言中间表示（Simple Assembly language Intermediate Representation， SAIR），基于SAIR给出程序控制流构造算法，屏蔽了汇编指令系统及其寻址方