论文阅读：DeepWukong:Staticallydetectingsoftwarevulnerabilitiesusingdeepgraphneuralnetwork

ACM Transactions on Software Engineering and Methodology&＃xff08;TOSEM&＃xff09;

ABSTRACT

作者针对目前基于机器学习的漏洞检测方法的不足&＃xff0c;提出了一种新的方法&＃xff0c;即同时考虑代码中的控制流、结构化信息以及跨函数的数据流信息&＃xff0c;此外还利用了最新的图神经网络进行嵌入表示。作者将该方法实现为DeepWuKong模型&＃xff0c;并使用现实世界中105428个C\C&＃43;&＃43;程序进行评估&＃xff0c;实验结果表明在静态代码分析问题中将传统程序分析和深度学习进行有效结合具有广阔的应用前景。

INTRODUCTION

现有基于机器学习的静态漏洞检测方法总体思路是构建一个检测模型&＃xff0c;通过样本训练捕获易受攻击程序与其所提取程序特征之间的相关性&＃xff0c;随后便可利用训练好的模型检测新程序中是否存在漏洞。然而这些方法大多侧重于检测低级内存错误&＃xff0c;例如缓冲区溢出和释放后使用。然而&＃xff0c;针对现实世界中的复杂漏洞&＃xff0c;现有方法仍存在以下几个问题&＃xff1a;

1. 未执行过程间程序依赖性分析&＃xff0c;即未考虑函数间的调用关系&＃xff0c;仅可以得到局部函数的代码特征
2. 常采用Word2Vec、Doc2Vec提取浅层代码特征&＃xff0c;如代码标记、抽象语法树&＃xff0c;而未考虑更全面的特征代码&＃xff0c;如控制依赖、数据依赖
3. 现有方法以粗粒度的方式在函数或文件级别检测漏洞&＃xff0c;这种粒度的检测对开发人员精确定位并修复漏洞帮助不大

作者提出了DeepWuKong&＃xff0c;一种基于深度学习的新方法&＃xff0c;即利用图神经网络对代码的文本和结构化信息进行嵌入表示&＃xff0c;以此来检测常见的C\C&＃43;&＃43;漏洞。实际上&＃xff0c;该方法主要对源代码特征提取和神经网络两部分提出了创新&＃xff0c;将传统程序分析和深度学习进行了有效结合&＃xff0c;并结合图神经网络挖掘代码的结构化语义。与传统的静态漏洞检测器和先进的基于深度学习的方法相比&＃xff0c;DeepWuKong表现优异。

本文主要贡献如下&＃xff1a;

1. 提出了一种新的程序切片方法来提取复杂的高级语义特征&＃xff0c;包括程序的数据流和控制流
2. 提出了DeepWukong&＃xff0c;利用图神经网络将代码的文本和结构化信息嵌入到全面的代码表示中&＃xff0c;支持对10种常见C/C&＃43;&＃43;漏洞的精确静态漏洞检测
3. 构建了一个基准&＃xff0c;包括105428个存在漏洞的C\C&＃43;&＃43;程序&＃xff0c;实验结果表明DeepWukong在多个评估指标下均表现优异。

1. 程序切片
2. 代码标记符号化与嵌入
3. 深度图神经网络学习

主要包括两个阶段&＃xff1a;训练阶段和检测阶段。

对于训练阶段&＃xff0c;在&＃xff08;a.1&＃xff09;中&＃xff0c;DeepWukong首先提取源代码的控制流图&＃xff08;CFG&＃xff09;和数据流图&＃xff08;VFG&＃xff09;&＃xff0c;分别计算源代码中的控制依赖和数据依赖关系&＃xff0c;然后基于这些信息构建程序依赖图&＃xff08;PDG&＃xff09;。在&＃xff08;a.2&＃xff09;中&＃xff0c;DeepWukong从程序敏感点&＃xff08;即切片标准&＃xff09;开始沿PDG进行向前和向后遍历&＃xff0c;直到达到固定点&＃xff0c;从而构建程序依赖图的子图XFG&＃xff08;即PDG的子图&＃xff09;&＃xff0c;从而保持程序的数据流和控制流。

为了精确地提取源代码的语义信息以训练神经网络&＃xff0c;DeepWukong首先通过将用户定义的变量和函数映射到&＃xff08;b.1&＃xff09;中的规范符号名来进行变量名规范化&＃xff0c;然后使用Doc2Vec将源代码的每个语句&＃xff08;即XFG上的每个节点&＃xff09;转换为向量表示&＃xff0c;如&＃xff08;b.2&＃xff09;所示。

随后&＃xff0c;将获得的结构化&＃xff08;XFG边&＃xff09;和非结构化信息&＃xff08;XFG上每个节点嵌入向量形式的代码标记&＃xff09;作为神经网络的输入&＃xff0c;如&＃xff08;c.1&＃xff09;所示。然后使用三种图神经网络来评估基于深度学习的方法的性能&＃xff0c;如&＃xff08;c.2&＃xff09;所示。最后&＃xff0c;得到一个训练好的检测模型。

对于检测阶段&＃xff0c;首先提取目标程序的控制和数据依赖信息&＃xff08;a.1&＃xff09;&＃xff0c;以生成一组切片&＃xff08;XFG&＃xff09;&＃xff08;a.2&＃xff09;。对于每个XFG&＃xff0c;在符号化&＃xff08;b.1&＃xff09;和嵌入&＃xff08;b.2&＃xff09;之后&＃xff0c;其边缘及其节点的代码标记都被用作特征&＃xff08;c.1&＃xff09;&＃xff0c;并被送到已训练好的模型中进行漏洞检测。

 图卷积层&＃xff0c;也称GCL层&＃xff0c;在该层主要进行节点特征传播&＃xff0c;核心计算公式如下&＃xff1a;

 图池化层&＃xff0c;也称GPL层&＃xff0c;通过应用一个池化率k来减小原图的节点数量&＃xff0c;核心计算公式如下&＃xff1a;

 多层感知机&＃xff0c;又称为MLP&＃xff0c;主要负责最后的分类工作&＃xff0c;核心计算公式如下&＃xff1a;

EXPERIMENTAL EVALUATION

1. Dateset

1. Software Assurance Reference Dataset (SARD)&＃xff0c;一个被广泛使用的漏洞数据集&＃xff0c;作者从其中选取了10种常见的C/C&＃43;&＃43;漏洞
2. 开源项目&＃xff0c;包括redis-5.0.8和lua-5.3.4

对上述数据集进行标注&＃xff0c;在此基础上标记XFG&＃xff0c;然后处理重复冲突样本&＃xff0c;并进行一定的数据分布平衡。

1. Experimental environment and neural network configuration

NVIDIA GeForce GTX 1080 GPU&＃xff0c;Intel Xeon E5-1620 CPU 3.5GHz&＃xff0c;PyTorch Geometric

采用10折交叉验证进行模型训练&＃xff0c;图中每个节点的向量表示维度设置为64&＃xff0c;dropout设置为0.5&＃xff0c;epoch设置为50&＃xff0c;优化器采用Adam&＃xff0c;学习率为0.001。

评估指标包括ACC、FPR、FNR、TPR、P、F1、AUC、IFN、MKN

C. Research Questions

RQ1 验证DeepWukong在漏洞检测任务中的有效性

使用三种不同的图嵌入方式&＃xff0c;包括GCN、GAT、k-GNNs&＃xff0c;其实验结果为

DeepWukong通过图嵌入方式自动学习代码中的高级语义特征&＃xff0c;在漏洞检测任务中表现出优异的性能。此外&＃xff0c;DeepWukong的性能与图神经网络类别无关&＃xff0c;因为这三中图计算模型都显示出了良好的结果。总体来看&＃xff0c;k-GNN的性能略优于其他两种图神经网络模型&＃xff0c;因为它可以更好地捕获XFG的结构化和非结构化信息。

RQ2 将DeepWukong与传统的漏洞检测工具进行对比

传统的漏洞检测工具包括FLAWFINDER、RATS、CLANG STATIC ANALYZER和INFER。实验结果表明&＃xff0c;传统的基于规则的检测方法不适用于检测现实世界中的复杂漏洞&＃xff0c;而通过深度学习对控制和数据流信息嵌入的DeepWukong模型可以在不知道任何预定义反模式的情况下&＃xff0c;能够有效地定位漏洞。

RQ3 将DeepWukong与现有的基于深度学习的漏洞检测方法进行对比

现有的基于深度学习的漏洞检测方法分别使用了TOKEN-BASED embedding、VGDETECTOR、VULDEEPECKER。实验结果表明&＃xff0c;DeepWukong在图嵌入过程中保留了更加全面的代码信息&＃xff08;过程间的控制流和数据流信息&＃xff09;&＃xff0c;能够捕获漏洞的共同特征&＃xff0c;并大大提高现有基于深度学习的方法的性能。

RQ4 验证DeepWukong在真实软件漏洞检测中的有效性

实验结果表明&＃xff0c;DeepWukong可以有效地检测现实开源应用程序中的漏洞&＃xff0c;并显著提高传统和基于深度学习的漏洞检测方法的性能。

LIMITATIONS

1. 数据集打标签过程可能存在纰漏
2. 程序敏感点的选取方式可能并非完美
3. 仅局限于C/C&＃43;&＃43;程序中的10种漏洞

CONCLUSION

作者提出一种基于深度学习的新方法&＃xff0c;主要对源代码特征提取和神经网络两部分提出了创新&＃xff0c;将传统程序分析和深度学习进行了有效结合&＃xff0c;并结合图神经网络挖掘代码的结构化语义&＃xff0c;以支持对广泛漏洞的检测。DeepWukong首先执行程序切片以提取细粒度但复杂的语义特征&＃xff0c;然后与图神经网络相结合以生成紧凑的低维表示。将其应用于包含10种比较流行的C/C&＃43;&＃43;漏洞和2个实际开源项目的10万多个易受攻击的程序&＃xff0c;结果证明DeepWukong优于几种最先进的方法&＃xff0c;包括传统的漏洞检测器和基于深度学习的方法。