[发明专利]计算机二进制程序的链接库函数名识别方法及装置

权利要求书

1.一种计算机二进制程序的链接库函数名识别方法，其特征在于，包括以下步骤：

步骤S401：收集静态链接库；

步骤S402：对收集的静态链接库进行归档整理；

步骤S403：将训练好的机器学习模型编写为IDA插件并在IDA中加载使用；

步骤S404：IDA接收用户输入的可疑二进制级别程序，IDA调用所述将训练好的机器学习模型编写的IDA插件进行自动化分析、检测，并在IDA界面中显示识别出的链接库函数名以及恶意软件功能函数名；

所述步骤S403，包括：

步骤S4031：对所述静态链接库进行特征提取；获取恶意程序样本数据，对所述恶意程序样本数据进行特征提取；

步骤S4032：将从所述静态链接库提取的特征及从恶意程序样本数据提取的特征输入机器学习网络；

步骤S4033：根据所述从所述静态链接库提取的特征及从恶意程序样本数据提取的特征对所述机器学习模型进行训练，调整所述机器学习模型的参数，得到训练好的机器学习模型；

步骤S4034：将训练好的机器学习模型编写为IDA插件并在IDA中加载使用。

2.如权利要求1所述的计算机二进制程序的链接库函数名识别方法，其特征在于，所述步骤S404，包括：

步骤S4041：输入层获取用户输入，从用户输入中识别可疑二进制级别程序；

步骤S4042：反汇编层使用具有根据训练好的机器学习模型编写的IDA插件的IDA对所述可疑二进制级别程序进行反汇编，并遍历被反汇编的所述可疑二进制级别程序文件的每一个字节，生成反汇编代码文本；

步骤S4043：对所述反汇编代码文本进行特征提取，IDA调用根据训练好的机器学习模型编写的IDA插件进行自动化分析，输出分类判断结果，所述分类判断结果用于指示该反汇编代码文本对应的可疑二进制级别程序是已知的链接库函数或恶意软件功能函数；

步骤S4044：根据所述分类判断结果，在IDA界面中显示识别出的链接库函数名以及恶意软件功能函数名。

3.如权利要求1所述的计算机二进制程序的链接库函数名识别方法，其特征在于，所述机器学习模型采用MLP算法。

4.一种计算机二进制程序的链接库函数名识别装置，其特征在于，所述装置包括：

收集模块：收集静态链接库；

整理模块：对收集的静态链接库进行归档整理；

加载模块：将训练好的机器学习模型编写为IDA插件并在IDA中加载使用；

显示模块：IDA接收用户输入的可疑二进制级别程序，IDA调用所述将训练好的机器学习模型编写的IDA插件进行自动化分析、检测，并在IDA界面中显示识别出的链接库函数名以及恶意软件功能函数名；

所述加载模块，包括：

第一特征提取子模块：对所述静态链接库进行特征提取；获取恶意程序样本数据，对所述恶意程序样本数据进行特征提取；

特征输入子模块：将从所述静态链接库提取的特征及从恶意程序样本数据提取的特征输入机器学习网络；

机器学习子模块：根据所述从所述静态链接库提取的特征及从恶意程序样本数据提取的特征对所述机器学习模型进行训练，调整所述机器学习模型的参数，得到训练好的机器学习模型；加载子模块：将训练好的机器学习模型编写为IDA插件并在IDA中加载使用。

5.如权利要求4所述的计算机二进制程序的链接库函数名识别装置，其特征在于，所述显示模块，包括：

识别子模块：用于由输入层获取用户输入，从用户输入中识别可疑二进制级别程序；

反汇编代码文本子模块：用于由反汇编层使用具有根据训练好的机器学习模型编写的IDA插件的IDA对所述可疑二进制级别程序进行反汇编，并遍历被反汇编的所述可疑二进制级别程序文件的每一个字节，生成反汇编代码文本；

第二特征提取子模块：用于对所述反汇编代码文本进行特征提取，IDA调用根据训练好的机器学习模型编写的IDA插件进行自动化分析，输出分类判断结果，所述分类判断结果用于指示该反汇编代码文本对应的可疑二进制级别程序是已知的链接库函数或恶意软件功能函数；

显示子模块：用于根据所述分类判断结果，在IDA界面中显示识别出的链接库函数名以及恶意软件功能函数名。