上下文感知的安卓应用程序漏洞检测研究

摘要

针对基于学习的安卓应用程序的漏洞检测模型对源程序的特征提取结果欠缺语义信息,且提取的特征化结果包含与漏洞信息无关的噪声数据,导致漏洞检测模型的准确率下降的问题,提出了一种基于代码切片(CIS)的程序特征提取方法.该方法和抽象语法树(AST)特征方法相比可以更加精确地提取和漏洞存在直接关系的变量信息,避免引入过多噪声数据,同时可以体现漏洞的语义信息.利用CIS,基于Bi-LSTM和注意力机制提出了一个上下文感知的安卓应用程序漏洞检测模型VulDGArcher;针对安卓漏洞数据集不易获得的问题,构建了一个包含隐式Intent通信漏洞和PendingIntent权限绕过漏洞的41812个代码片段的数据集,其中漏洞代码片段有16218个.在这个数据集上,VulDGArcher检测准确率可以达到96％,高于基于AST特征和未进行处理的APP源码特征的深度学习漏洞检测模型.