二进制补丁比对中的指令归一化算法

基金项目：国家部委基金资助项目；国家自然科学基金资助项目 (60603017)
作者简介：沈亚楠(1980－)，男，硕士，主研方向：软件安全；赵荣 彩，教授、博士生导师；王小芹，高级工程师、硕士；任 华、 刘振华，工程师、硕士；张新宇，高级工程师、博士；李鹏飞，博士 收稿日期：2010-02-18 E-mail：sssyyynnn@
沈亚楠 1,2，赵荣彩 1，王小芹 2，任 华 2，刘振华 2，张新宇 2，李鹏飞 3
(1. 解放军信息工程大学信息工程学院，郑州 450001；2. 北京北方计算中心，北京 100091；3. 中国科学院软件所，北京 100090)
摘 要：针对软件二进制补丁分析过程，提出一种指令归一化算法，用于判别补丁前后的相应基本块内指令是否发生重排序。与常用的小 素数法相比，该算法不受基本块内指令条数的限制，不会导致差异信息漏报，且效率较高、效果良好。初步实验证明，该算法减少了人工 分析差异信息的工作量，可以帮助逆向分析人员快速定位软件差异。 关键词：软件补丁比对；指令重排列；小素数法；指令归一化
(1. Information Engineering College, PLA Information Engineering University, Zhengzhou 450001; 2. Beijing North Computer Center, Beijing 100091;
3. Institute of Software, Chinese Academy of Sciences, Beijing 100090)
如 果 存 在 一 种 排 序 δ = { p1, p2,L, pm} ∈ S n ， 使 得 ∀i (1 ≤ i ≤ m), α pi = βi ，则称基本块 A、B 进行了指令重排。
2.1 小素数法及其局限性
文献[3]提出的小素数法是一种判断补丁前后 2 个基本块
内指令是否重排的算法。其判断前提是基本块内指令内容一
在进行二进制补丁比对、寻找函数差异的过程中，经常 遇到一种代码形式上的差别，即指令重排。原因是软件版本 A 和版本 B 在编译过程中，编译器优化造成的“噪音”使得 相同的源代码在编译成二进制代码后指令顺序不一致。目前 很多厂商通过引用指令混淆技术来干扰二进制补丁比对的分 析，其中一个重要方法是进行指令重排。一些二进制比较工 具，如 BMAT 使用基本块的校验值进行匹配，而校验值对指 令顺序的依赖程度很高，一旦引入指令重排混淆技术，这些 二进制补丁比较工作将不能正常工作。如果二进制补丁比较 工具能有效识别“义同形不同”的代码差别，就能极大减少
n
∏τ1
(αi
)
=
n
∏τ 2
( βi
)
，则说明基本块
A、B
进行了指令重排。
i=1
i=1
小素数法中条件
n
∏τ1
(αi
)
=
n
∏τ
2
(
βi
)
等价于存在一种排序
i=1
i=1
δ 使得 δ (α ) = β ，原因是素数乘法的唯一性。由于实际中素
数乘法是高开销的，乘积增长很快，因此在计算机中难以表
示。为了算法的实际应用，可以将乘积与 264 取模，从而利用
通过微软 ms09039 补丁比对和 GNU gzip 1.2.4 长文件名 溢出漏洞补丁比对来验证指令归一化算法的效果。
2009 年 8 月 11 日微软发布严重级 ms09039 安全公告： 用户如果在运行 Windows Internet 名称服务(wins)时收到特制 的 WINS 复 制 数 据 包 ， 就 可 能 远 程 执 行 代 码。该 漏 洞 是 WINS(win.exe)服务在计算缓冲区长度和解析收到的数据包 时产生的错误。通过对其进行二进制补丁比对，发现 17 对差 异函数。在这 17 对差异函数中，指令归一化算法识别出由于 指令重排引起的“义同形不同”基本块 4 对，本文以 NmsMsgfFrmNamRelReq 函数为例进行说明。由于该函数内 配对基本块中指令条数达 71 条，因此仅以发生指令重排的相 关指令为例进行说明。
且
αil
<
α
l j
。
在有序化基本块内的指令后，顺序比较补丁前后基本块 内指令是否一致，若所有指令均一致，则说明编译器进行了 指令重排优化，补丁前后的基本块可以认定为“义同形不同”。
基于定义 3 给出指令归一化算法，描述如下：
输入 补丁前基本块 A 内指令序列 A = {α1,α2,L,αm} ，补
丁后基本块 B 内指令序列 B = {β1, β2,L, βm} 输出 补丁前后基本块 A 、 B 是否进行了指令重排的判
通用的 X86 CPU 寄存器进行计算[4]。简化计算的风险是漏报：
对于
n
条汇编语句组成的基本块 α
和
β
，可能在
n
∏τ1
(α
i
)
≠
i=1
n
∏τ
2
(
β
i
)
的情况下，
n
∏τ
(αi )
=
k 264
+c
和
n
∏τ
(
β
i
)
=
j 264
+c
成
i=1
i=1
i=1
立，即实际有差异的基本块 α 和 β 被认为相同。对于有
从归一化算法可以看出，对于 m 条指令、每个指令 n 个 关键字，链式基数排序算法中每次分配的时间复杂度为
O (m) ，每次收集的时间复杂度为 O (36) ，整个排序需要进
行 n 次分配与收集，因此，整个时间复杂度为 O (n(m + 36)) ，
所需空间为 36×2+m 个队列指针。
3 实验结果
m = 100 [4]规模的汇编指令种类，基本块内语句在 14 条以内
的情况下，上述特征定义是安全的。但当规模大于上述条件
时，将造成信息漏报。
2.2 指令归一化算法
指令归一化本质上是将基本块内每条指令视为一个字符
串，字符串中每个字符看作是该字符串的关键字，然后对这
些字符串进行排序并比较。假设基本块内含有 m 条指令，指
指令重排是编译器对代码优化的一种常用方法，目的是 充分利用计算机硬件，提高软件执行的并行性。本文给出基 本块内指令重排的形式化描述，见定义 1，简单阐述文献[3] 小素数法及其不足，并介绍指令归一化算法。
定义 1 假设基本块 A、B 均含有 m 条指令，A = {α1,α2,L, αm} ， B = {β1, β2,L, βm} 。 S m 是 m 条指令的所有排序集合。
(3)逐次比较基本块 A` 、 B` 内每条指令是否相同，如果 均相同，则说明基本块 A 、 B 进行了指令重排，不需对其进 行补丁分析。
在步骤(2)中，以链表形式存储指令序列中的 m 条指令。 指令每一位关键字的取值范围为 0~9 或 a~z，设置 36 个队列， 每次排列时按关键字分配到相应队列中，设置头、尾指针指 向每个队列的头和尾，并收集各条指令，改变所有非空队列 队尾的指针，令其指向下一个非空队列的队头记录，重新将 36 个队列中的指令连成一个链表。
1 概述
漏洞研究者可以根据软件在完善过程中发布的安全补丁 及其相关信息进行数据流分析，从而定位软件漏洞。因此， 软件厂商逐步向公众封闭与补丁相关的漏洞技术细节，漏洞 研究者只能得到软件系统打补丁前后的可执行代码，极大增 加了其漏洞定位难度，引发了可执行代码比较技术的研究 需求[1]。
目前有很多补丁比对技术，其主要思想是通过配对补丁 比对前后功能相应的函数，寻找函数之间的差异，特别是语 义上的差别。BindView 公司 Razor 研究小组利用图的同构进 行可执行代码不同版本之间的比较[2]。文献[3]提出基于结构 化技术比较可执行文件的方法，文献[4]在此基础上增加了 划分的属性。文献[5]提出结构化函数签名的二进制比较技 术。基于结构化的二进制比较方法在一定程度上消除了编译 器优化对分析二进制文件带来的影响，但不能发现非结构的 变化。
致，仅排序不同。小素数法的形式化描述见定义 2。
定义 2[3] 假设 Pm = {3,5,L, ρm} 是前 m 个素数，按顺序对
基本块 A、B 内每条指令建立与 Pm 中每个素数的映射关系：
τ1,τ 2 。 τ1 : A → Pm ,τ1 (αi ) = ρi , τ 2 : B → Pm ,τ 2 ( βi ) = ρi 。 如 果
【Abstract】Aiming at the analyzing process of software binary patch, this paper proposes an instruction normalization algorithm to distinguish whether the corresponding basic blocks are reordered. Compared with the normally small prime algorithm, this algorithm is not limited to instruction numbers and does not fail to report the difference information. It has high efficiency and good effect. Initial experiments show that this algorithm can reduce the manual work to analyze difference information and help reverse engineering person quickly locate software difference. 【Key words】software patch comparison; instruction reordering; small prime algorithm; instruction normalization