肖睿卿，祝跃飞，刘胜利，芦斌

基于候选函数组的固件间函数对应关系构建方法

肖睿卿，祝跃飞，刘胜利，芦斌

（数学工程与先进计算国家重点实验室，河南 郑州 450001）

由于固件的特点，传统二进制比对方法在匹配函数节点传播匹配的过程中易产生误匹配。针对匹配函数传播效果不理想的问题，设计了基于候选函数组的函数对应关系构建方法，并引入了函数层局部网络匹配的概念。然后，结合3种候选函数组构造策略形成候选函数组构造方法及候选函数组匹配方法，并分析了时间开销。最后，基于所提方法实现了原型系统，并与Bindiff进行比较。通过随机抽样和人工核对，所提方法匹配结果的86.04%与Bindiff匹配结果一致，所提方法匹配结果的11.3%可以修正Bindiff的匹配错误，缓解了传播带来的误匹配问题。

固件；二进制比对；函数匹配；候选函数组

1 引言

二进制代码比对旨在确定两段代码（基本块、函数、程序）是否相似[1]，也称作二进制比对。文献[2-5]的工作表明，二进制比对技术具有广泛的应用场景，可用于固件补丁/漏洞比对[4]、软件抄袭检测[6]、恶意软件检测[7]等领域。

本文研究邻近版本固件间构建函数对应关系的方法，对固件安全性进行分析，此问题属于二进制比对范畴。文献[1]将二进制比对的粒度分为基本块、函数、程序三级；输入形式包括一对一、一对多、多对多；比对形式包括同构、等价、相似3种。依据此条件，本文研究内容可以描述为，对于输入两个固件程序，以一定方法判别每个固件中的每一个函数在另一个固件中是否有函数与之对应（也称为匹配）。……