基于联合代码属性图的漏洞检测方法研究.pdfVIP

基于联合代码属性图的漏洞检测方法研究

摘要

随着互联网的发展，万物互联的概念正推动着行业的改革浪潮，许多行业正在积极

探索与互联网进行产业融合，实现数字化转型。在此背景下，源代码数量也飞速增长，

由于代码复用行为，代码中隐藏的漏洞也随之快速蔓延。因此，对当前软件进行源代码

漏洞检测成为一个重要的研究方向。传统的代码漏洞检测方法依赖于检测人员对漏洞的

理解，需要人工定义检测规则，无法满足大规模软件的漏洞检测要求。深度学习的出现

解决了传统检测方法效率低的问题，它可以自动提取源代码中的漏洞特征，从而学习完

整的漏洞模式对代码漏洞进行检测。然而，当前漏洞检测技术大多将源代码当成序列进

行处理，这种方法会丢失源代码的结构信息，导致检测结果出现大量的误报。同时，当

前的公开漏洞数据集中往往会有重复样本的存在，模型训练时会受到重复样本的影响，

从而出现过拟合现象影响模型检测性能。为了解决上述问题，本文提出了基于联合代码

属性图（UnifiedCodePropertyGraph，UCPG）的源代码漏洞检测模型UCPGVul。本文

主要研究内容如下：

（1）提出了一种新的图形表示UCPG，对源代码进行语义特征提取。UCPG相比于

传统的代码属性图（CodePropertyGraph，CPG）可以涵盖更多的语法结构信息，尤其在

存在函数调用关系时，UCPG能够将该关系信息包含其中。同时，将自然代码序列边加

入其中，提高了代码的上下文相关特性。这种改进的CPG可以更全面地反映源代码的

结构和特征，为源代码漏洞检测提供更为丰富的信息。实验证明，本文提出的UCPG比

当前其他图表示包含更多的源代码信息，提高了模型的性能。

（2）提出了一种基于UCPG的源代码漏洞检测模型UCPGVul。UCPGVul模型通

过对UCPG进行特征提取，可以捕捉到更多的漏洞特征。实验结果证明该模型可以识别

到更完整的漏洞模式，在本文所使用的数据集中准确率高于当前常见的检测方法，具有

一定的现实意义。

综上所述，本文所提出的基于UCPG的源代码漏洞检测模型UCPGVul，可以有效

提高源代码漏洞的检测性能，并为该领域的未来研究提供了新的方向。

关键词：源代码分析；漏洞检测；联合代码属性图；图神经网络

基于联合代码属性图的漏洞检测方法研究

Abstract

WiththedevelopmentoftheInternetofThings,theconceptofinterconnectednessis

leadingthereformwaveoftheinternetindustry,andvariousindustriesarebeginningto

transformtowardstheinternet.Inthiscontext,thenumberofsourcecodesisgrowingrapidly,

andhiddenvulnerabilitiesincodearealsospreadingrapidlyduetocodereusebehavior.

Therefore,detectingsourcecodevulnerabilitiesincurrentsoftwarehasbecomeanimportant

researchdirection.Traditionalcodevulnerabilitydetectionmethodsrelyonhuman

understandingofvulnerabilities,requiringmanualdefinitionofdetectionrules,andcannotmeet

therequirementsoflarge-scalesoftwarevulnerabilitydetection.Theemergenceofdeep

learn