基于相似度判定的嵌入式操作系统内核版本识别方法

摘要

本发明涉及一种基于相似度判定的嵌入式操作系统内核版本识别方法，含有下列步骤：步骤1：收集不同类型标准嵌入式操作系统的内核版本，得到标准内核的函数结构化特征，并将其存入内核结构化特征库；步骤2：对待识别的嵌入式操作系统内核进行分析，得到待识别内核的函数结构化特征；步骤3：将待识别内核的函数结构化特征按次序与内核结构化特征库中的一个标准内核的函数结构化特征进行匹配；步骤4：待识别内核的函数结构化特征是否已经与标准内核的函数结构化特征都进行了匹配？如是，执行步骤5；如不是，执行步骤3；步骤5：对待识别的嵌入式操作系统内核版本进行识别并做出判定；本发明提高了操作系统内核版本识别的准确性和通用性。

主权项

一种基于相似度判定的嵌入式操作系统内核版本识别方法，其特征是：含有下列步骤：步骤1：收集不同类型标准嵌入式操作系统的内核版本，通过正向编译、反汇编处理，得到标准内核函数序列，从标准内核函数序列中提取N个标准内核的函数结构化特征，将N个标准内核的函数结构化特征存入内核结构化特征库，N为大于等于1的自然数；步骤2：对待识别的嵌入式操作系统内核进行反汇编分析，得到待识别内核函数序列，从待识别内核函数序列中提取相应的待识别内核的函数结构化特征；步骤3：使用内核函数结构化匹配算法，将待识别内核的函数结构化特征按次序与内核结构化特征库中的一个标准内核的函数结构化特征进行匹配，并根据匹配结果计算出两者的相似度；步骤4：判断待识别内核的函数结构化特征是否已经与内核结构化特征库中的N个标准内核的函数结构化特征都进行了匹配，如果是，执行步骤5；如果不是，执行步骤3；步骤5：待识别内核的函数结构化特征与内核结构化特征库中的N个标准内核的函数结构化特征都进行匹配后，得到N个相似度，对N个相似度进行排序，根据各相似度的排名及分布情况对待识别的嵌入式操作系统内核版本进行识别并做出判定；标准内核的函数结构化特征和待识别内核的函数结构化特征均是根据函数控制流图CFG得到的，标准内核的函数结构化特征和待识别内核的函数结构化特征均由函数结构特征和基本块结构特征组成，其中，函数结构特征描述具体函数的结构特征，基本块结构特征描述函数内部基本块的结构特征；步骤3中，内核函数结构化匹配算法记作f_match(Q_tar,Q_std)，其中，Q_std为标准内核函数序列，Q_tar为待识别内核函数序列，内核函数结构化匹配算法的步骤如下：步骤3.1：给函数队列Q、匹配函数队列Q_match赋值为空；步骤3.2：获取Q_tar中的待识别内核的函数结构化特征；步骤3.3：如果Q_std非空时，执行步骤3.4，否则转步骤3.11；步骤3.4：从Q_std中按次序取出一个函数f_i；步骤3.5：对函数f_i和待识别内核的函数结构化特征进行函数级结构化匹配，得到匹配成功的函数队列Q；步骤3.6：如果函数队列Q非空，则执行步骤3.7，否则转步骤3.3；步骤3.7：从函数队列Q中按次序取出一个函数q_j；步骤3.8：对函数q_j和函数f_i进行基本块级结构化匹配，如果匹配成功，执行步骤3.9，否则转步骤3.6；步骤3.9：将函数q_j从Q_std和Q_tar中删除；步骤3.10：将函数q_j加入到匹配函数队列Q_match中；步骤3.11：输出匹配函数队列Q_match；函数级结构化匹配根据两个内核的函数结构特征来计算，两个内核的函数结构特征分别表示如下：FunSig′<param_F′,idegree_F′,block′,edge′,callee_F′>，FunSig″<param_F″,idegree_F″,block″,edge″,callee_F″>，其中，param_F′、param_F″表示函数参数个数，idegree_F′、idegree_F″表示函数入度，block′、block″表示函数控制流图CFG中基本块个数，edge′、edge″表示函数控制流图CFG中边数，callee_F′、callee_F″表示函数的子调用数；计算公式为：$d=\sqrt{{({{\mathrm{param}}_F}^{\prime }-{{\mathrm{param}}_F}^{\prime \prime })}^2+{({{\mathrm{idegree}}_F}^{\prime }-{{\mathrm{idegree}}_F}^{\prime \prime })}^2+{({\mathrm{block}}^{\prime }-{\mathrm{block}}^{\prime \prime })}^2+{({\mathrm{edge}}^{\prime }-{\mathrm{edge}}^{\prime \prime })}^2+{({{\mathrm{callee}}_F}^{\prime }-{{\mathrm{callee}}_F}^{\prime \prime })}^2}$当d＝0时，两个函数具有相似的结构；步骤3中的相似度计算方法为：相似度＝q/m，其中，q为匹配的函数个数，m为目标内核的函数总个数。