基于抽象语法树的智能化漏洞检测系统

• 作者: 李珍 邹德清 金海 陈肇炫
• 来源期刊: 信息安全学报
• 学科: 工学
• 关键词: 漏洞检测 结构表征 抽象语法树 神经网络
• 年，卷（期）: 2020,（4）
• 页码范围: 1-13
• 页数: 13页
• 分类号: TP393
• 字数: 12276字
• 语种: 中文
• DOI: 10.19363/J.cnki.cn10-1380/tn.2020.07.01

摘要

源代码漏洞的自动检测是一个重要的研究课题.目前现有的解决方案大多是基于线性模型,依赖于源代码的文本信息而忽略了语法结构信息,从而造成了源代码语法和语义信息的丢失,同时也遗漏了许多漏洞特征.提出了一种基于结构表征的智能化漏洞检测系统Astor,致力于使用源代码的结构信息进行智能化漏洞检测,所考虑的结构信息是抽象语法树(Abstract Syntax Tree,AST).首先,构建了一个从源代码转化而来且包含源码语法结构信息的数据集,提出使用深度优先遍历的机制获取AST的语法表征.最后,使用神经网络模型学习AST的语法表征.为了评估Astor的性能,对多个基于结构化数据和基于线性数据的漏洞检测系统进行比较,实验结果表明Astor能有效提升漏洞检测能力,降低漏报率和误报率.此外,还进一步总结出结构化模型更适用于长度大,信息量丰富的数据.