《娜璋帶你讀論文》系列主要是督促自己閱讀優(yōu)秀論文及聽取學(xué)術(shù)講座，并分享給大家，希望您喜歡。由于作者的英文水平和學(xué)術(shù)能力不高，需要不斷提升，所以還請(qǐng)大家批評(píng)指正，非常歡迎大家給我留言評(píng)論，學(xué)術(shù)路上期待與您前行，加油。

前一篇文章介紹Excel論文可視化分析基礎(chǔ)知識(shí)。這篇文章將帶來AAAI20騰訊科恩實(shí)驗(yàn)室的經(jīng)典工作——Order Matters，提出語義感知（Semantic-Aware）神經(jīng)網(wǎng)絡(luò)來實(shí)現(xiàn)二進(jìn)制代碼相似性檢測，希望這篇文章對(duì)您有所幫助。一方面自己英文太差，只能通過最土的辦法慢慢提升，另一方面是自己的個(gè)人學(xué)習(xí)筆記，并分享出來希望大家批評(píng)和指正。這些大佬是真的值得我們?nèi)W(xué)習(xí)，獻(xiàn)上小弟的膝蓋~fighting！

• 問題：究竟怎么實(shí)現(xiàn)語義感知？又如何與二進(jìn)制代碼相結(jié)合？
• 感受：這篇文章和自己的寫作及研究風(fēng)格真心像，建議以后深入學(xué)習(xí)和復(fù)現(xiàn)。

原文作者：Zeping Yu, Rui Cao, Qiyi Tang, Sen Nie, Junzhou Huang, Shi Wu
原文標(biāo)題：Order Matters: Semantic-Aware Neural Networks for Binary Code Similarity Detection
原文鏈接：https://ojs.aaai.org/index.php/AAAI/article/view/5466
發(fā)表會(huì)議：AAAI 2020
官方博客：科恩 - AAAI-20論文解讀：基于圖神經(jīng)網(wǎng)絡(luò)的二進(jìn)制代碼分析

除了原文和作者的理解，本文還參考了下面兩位老師的博客，再次感謝，向老師和好友們學(xué)習(xí)。

• Order Matters: SANN二進(jìn)制代碼相似性檢測
• Order Matters: Semantic-Aware Neural Networks for Binary Code Similarity Detection

作者感受：
這篇論文的框架風(fēng)格和我的很像，非常值得我學(xué)習(xí)，尤其是安全和AI的結(jié)合。同時(shí)，文中的英文表述、創(chuàng)新點(diǎn)、模型設(shè)計(jì)以及實(shí)驗(yàn)評(píng)估也值得學(xué)習(xí)。

騰訊科恩實(shí)驗(yàn)室官方博客：

• https://keenlab.tencent.com/zh/index.html
• https://github.com/KeenSecurityLab/BinAbsInspector

前文賞析：

• [論文閱讀] (01) 拿什么來拯救我的拖延癥？初學(xué)者如何提升編程興趣及LATEX入門詳解
• [論文閱讀] (02) SP2019-Neural Cleanse: Identifying and Mitigating Backdoor Attacks in DNN
• [論文閱讀] (03) 清華張超老師 - GreyOne: Discover Vulnerabilities with Data Flow Sensitive Fuzzing
• [論文閱讀] (04) 人工智能真的安全嗎？浙大團(tuán)隊(duì)外灘大會(huì)分享AI對(duì)抗樣本技術(shù)
• [論文閱讀] (05) NLP知識(shí)總結(jié)及NLP論文撰寫之道——Pvop老師
• [論文閱讀] (06) 萬字詳解什么是生成對(duì)抗網(wǎng)絡(luò)GAN？經(jīng)典論文及案例普及
• [論文閱讀] (07) RAID2020 Cyber Threat Intelligence Modeling Based on Heterogeneous GCN
• [論文閱讀] (08) NDSS2020 UNICORN: Runtime Provenance-Based Detector for Advanced Persistent Threats
• [論文閱讀] (09)S&P2019 HOLMES Real-time APT Detection through Correlation of Suspicious Information Flow
• [論文閱讀] (10)基于溯源圖的APT攻擊檢測安全頂會(huì)總結(jié)
• [論文閱讀] (11)ACE算法和暗通道先驗(yàn)圖像去霧算法（Rizzi | 何愷明老師）
• [論文閱讀] (12)英文論文引言introduction如何撰寫及精句摘抄——以入侵檢測系統(tǒng)(IDS)為例
• [論文閱讀] (13)英文論文模型設(shè)計(jì)（Model Design）如何撰寫及精句摘抄——以入侵檢測系統(tǒng)(IDS)為例
• [論文閱讀] (14)英文論文實(shí)驗(yàn)評(píng)估（Evaluation）如何撰寫及精句摘抄（上）——以入侵檢測系統(tǒng)(IDS)為例
• [論文閱讀] (15)英文SCI論文審稿意見及應(yīng)對(duì)策略學(xué)習(xí)筆記總結(jié)
• [論文閱讀] (16)Powershell惡意代碼檢測論文總結(jié)及抽象語法樹（AST）提取
• [論文閱讀] (17)CCS2019 針對(duì)PowerShell腳本的輕量級(jí)去混淆和語義感知攻擊檢測
• [論文閱讀] (18)英文論文Model Design和Overview如何撰寫及精句摘抄——以系統(tǒng)AI安全頂會(huì)為例
• [論文閱讀] (19)英文論文Evaluation（實(shí)驗(yàn)數(shù)據(jù)集、指標(biāo)和環(huán)境）如何描述及精句摘抄——以系統(tǒng)AI安全頂會(huì)為例
• [論文閱讀] (20)USENIXSec21 DeepReflect：通過二進(jìn)制重構(gòu)發(fā)現(xiàn)惡意功能（惡意代碼ROI分析經(jīng)典）
• [論文閱讀] (21)S&P21 Survivalism: Systematic Analysis of Windows Malware Living-Off-The-Land (經(jīng)典離地攻擊)
• [論文閱讀] (22)圖神經(jīng)網(wǎng)絡(luò)及認(rèn)知推理總結(jié)和普及-清華唐杰老師
• [論文閱讀] (23)惡意代碼作者溯源(去匿名化)經(jīng)典論文閱讀：二進(jìn)制和源代碼對(duì)比
• [論文閱讀] (24)向量表征：從Word2vec和Doc2vec到Deepwalk和Graph2vec，再到Asm2vec和Log2vec（一）
• [論文閱讀] (25)向量表征經(jīng)典之DeepWalk：從Word2vec到DeepWalk，再到Asm2vec和Log2vec（二）
• [論文閱讀] (26) 基于Excel可視化分析的論文實(shí)驗(yàn)圖表繪制總結(jié)——以電影市場為例
• [論文閱讀] (27) AAAI20 Order Matters: 二進(jìn)制代碼相似性檢測（騰訊科恩實(shí)驗(yàn)室）

一.摘要

二進(jìn)制代碼相似性檢測是計(jì)算機(jī)安全領(lǐng)域中的一項(xiàng)重要（essential）任務(wù)，其目標(biāo)是檢測二進(jìn)制函數(shù)的相似性。

傳統(tǒng)方法通常使用圖匹配（graph matching）算法，但速度緩慢且不準(zhǔn)確（inaccurate）。近年來，基于神經(jīng)網(wǎng)絡(luò)的研究方法已取得巨大的成就（have made great achievements）。首先將一個(gè)二進(jìn)制函數(shù)表示為一個(gè)具有手動(dòng)選擇塊特征的控制流圖（CFG），然后采用圖神經(jīng)網(wǎng)絡(luò)（GNN）來計(jì)算圖嵌入（graph embedding）。雖然這些方法非常有效（effective and efficient），但它們不能足夠地捕獲二進(jìn)制代碼的語義信息。

本文提出一種語義感知（semantic-aware）神經(jīng)網(wǎng)絡(luò)來提取二進(jìn)制代碼的語義信息，其輸入是以基本塊為單位的CFG圖。具體而言，我們使用BERT在一個(gè)令牌級(jí)任務(wù)（token-level）、一個(gè)塊級(jí)任務(wù)（block-level）和兩個(gè)圖級(jí)任務(wù)（graph-level）上對(duì)二進(jìn)制代碼進(jìn)行預(yù)訓(xùn)練。此外，我們發(fā)現(xiàn)CFG節(jié)點(diǎn)的順序?qū)τ趫D的相似度檢測很重要，因此我們?cè)卩徑泳仃嚿喜捎镁矸e神經(jīng)網(wǎng)絡(luò)（CNN）來提取順序信息。

• 首先使用Bert生成每一個(gè)基本塊的embedding，接著使用MPNN網(wǎng)絡(luò)生成CFG圖的整體embedding，同時(shí)融入通過鄰接矩陣生成的CFG圖順序信息，經(jīng)過MLP得到最終的embedding值，以此進(jìn)行相似度比較。

我們用四個(gè)數(shù)據(jù)集在兩個(gè)任務(wù)上進(jìn)行了實(shí)驗(yàn)。結(jié)果表明，我們的方法優(yōu)于最先進(jìn)（state-of-art）的模型。

二.引言

由于每篇論文的引言都非常重要，會(huì)告訴大家為什么有這個(gè)工作，以及這個(gè)工作做了什么，有什么貢獻(xiàn)。因此該部分作者會(huì)全文翻譯，后續(xù)章節(jié)則介紹重點(diǎn)內(nèi)容。

二進(jìn)制代碼相似性檢測（Binary code similarity detection） 旨在檢測兩個(gè)給定的二進(jìn)制函數(shù)是否相似 [不訪問源代碼]。二進(jìn)制代碼分析被廣泛應(yīng)用于計(jì)算機(jī)安全領(lǐng)域，譬如代碼克隆檢測（code clone detection）、漏洞發(fā)現(xiàn)（vulnerability discovery）、惡意軟件檢測等。

• 科恩：“同一份源代碼在不同編譯器，不同平臺(tái)，不同優(yōu)化選項(xiàng)的條件下所得到的二進(jìn)制代碼是不相同的，我們的任務(wù)目標(biāo)是把同一份源代碼所編譯出的不同的二進(jìn)制代碼找到。”

傳統(tǒng)方法采用 圖匹配算法（Liu et al. 2006）來計(jì)算兩個(gè)函數(shù)的相似度。然而，這些基于圖匹配的方法速度緩慢，并且可能很難適應(yīng)不同的應(yīng)用程序。隨著近年來深度學(xué)習(xí)算法的發(fā)展，研究者嘗試在控制流圖（CFG）上使用圖神經(jīng)網(wǎng)絡(luò)算法，并取得不錯(cuò)的效果。

文獻(xiàn)[1]提出一種基于神經(jīng)網(wǎng)絡(luò)的方法 Gemine（Xu et al.2017），它的輸入是兩個(gè)二進(jìn)制函數(shù)的pair，輸出是這兩個(gè)二進(jìn)制函數(shù)的相似度得分。該工作證明 Gemine 的準(zhǔn)確率和速度優(yōu)于現(xiàn)有方法。

• 首先，將二進(jìn)制函數(shù)的控制流圖（CFG）作為輸入，并使用人工設(shè)計(jì)的特征提取方法將每個(gè)block表示成低維的向量，Gemini 會(huì)將其轉(zhuǎn)換為一個(gè)有屬性的CFG。如圖1所示。
• 其次，使用 Structure2vec 算法（Dai, Dai, and Song 2016）生成graph embedding。
• 最后，使用siamese網(wǎng)絡(luò)計(jì)算相似度得分并使用梯度下降算法降低損失訓(xùn)練模型。

[1] Xu X.; Liu C.; Feng Q.; et al. 2017. Neural network-based graph embedding for crossplatform binary code similarity detection. In Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security (CCS), 363–376. ACM.

盡管基于神經(jīng)網(wǎng)絡(luò)的模型已經(jīng)取得了很大的進(jìn)步，但仍存在一些未被考慮的問題。

• 首先，如圖1所示，每個(gè)block都被表示為一個(gè)低維向量，這個(gè)特征提取是人工設(shè)計(jì)的，在Gemini中block特征只有8維向量，這個(gè)壓縮的過程會(huì)損失很多語義信息。
• 其次，節(jié)點(diǎn)的順序在表示二進(jìn)制函數(shù)中起著重要的作用，而以往的方法并沒有設(shè)計(jì)特定的算法提取這一特征。

為了解決這兩個(gè)問題，我們提出一個(gè)包含三個(gè)組件的整體框架：

• 語義感知模塊（semantic-aware modeling）
• 結(jié)構(gòu)感知模塊（structural-aware modeling）
• 順序感知模塊（order-aware modeling）

原文（優(yōu)美句子）：
Even though neural network-based models have achieved a lot, there are several important things that have not been taken into consideration. Firstly, as shown in Figure 1, each block is represented as a low-dimensional embedding with manually selected features, which will cause the loss of much semantic information. Secondly, the order of the nodes plays an important role in representing binary functions, while previous approaches did not design methods to extract it. To solve these two problems, we propose an overall framework with three components: semantic-aware modeling, structural-aware modeling, and order-aware modeling.

(1) 在語義感知模塊：
我們使用NLP模型來提取二進(jìn)制代碼的語義信息。CFG塊中的token被視為單詞，CFG塊被視為句子。 在先前的工作中：

• （Massarelli et al. 2019）使用word2vec模型訓(xùn)練塊中的token embeddings，然后使用注意機(jī)制獲得block embedding。
• （Zuo et al. 2018）借鑒了神經(jīng)機(jī)器翻譯（NMT）的思想來學(xué)習(xí)跨平臺(tái)二進(jìn)制碼之間的語義關(guān)系。

在本文中，我們采用BERT（Devlin et al. 2018）對(duì)tokens和blocks進(jìn)行預(yù)訓(xùn)練。與BERT相同，我們對(duì)MLM（masked language model）任務(wù)的標(biāo)記進(jìn)行預(yù)訓(xùn)練，并提取所有相鄰塊對(duì)鄰接節(jié)點(diǎn)預(yù)測任務(wù)（ANP）進(jìn)行預(yù)訓(xùn)練。與分別學(xué)習(xí)token向量和block向量不同，本文方法能夠同時(shí)學(xué)習(xí)token向量和block向量。此外，因?yàn)槲覀兊淖罱K目標(biāo)是生成完整的圖表示，所以我們添加了兩個(gè)圖級(jí)任務(wù)。

• 一種是確定兩個(gè)采樣塊是否在同一個(gè)圖中，我們稱之為圖內(nèi)塊任務(wù)（BIG，block inside graph task）。
• 另一種是區(qū)分塊屬于哪個(gè)平臺(tái)/優(yōu)化選項(xiàng)，稱為圖分類任務(wù)（GC，graph classification task）。

我們發(fā)現(xiàn)，額外的任務(wù)可以幫助提取更多的語義信息，更好地學(xué)習(xí)塊表示。在對(duì)塊嵌入進(jìn)行預(yù)訓(xùn)練之后，我們將在圖級(jí)任務(wù)上對(duì)它們進(jìn)行微調(diào)。

(2) 在結(jié)構(gòu)感知模塊：
我們使用MPNN（Gilmer等人2017）和GRU（Cho等人2014）更新函數(shù)。（Xu et al. 2018）已經(jīng)證明了圖神經(jīng)網(wǎng)絡(luò)可以具有像Weisfeiler-Lehman測試一樣的區(qū)分能力。我們發(fā)現(xiàn)，在每個(gè)步驟中使用GRU比只使用tanh函數(shù)可以存儲(chǔ)更多的信息。

(3) 在順序感知模塊：
我們嘗試設(shè)計(jì)一種體系結(jié)構(gòu)來提取CFG的節(jié)點(diǎn)順序信息。圖2顯示函數(shù)“_freading”在不同平臺(tái)x86-64和ARM上編譯出的二進(jìn)制代碼的控制流圖及鄰接矩陣。這兩個(gè)控制流圖的節(jié)點(diǎn)順序是非常相似的，例如node1都與node2和node3相連，node2都與node4和node5相連，而這種相似性可以體現(xiàn)在它們的鄰接矩陣上。

通過探索了許多跨平臺(tái)函數(shù)對(duì)，我們發(fā)現(xiàn)節(jié)點(diǎn)順序的變化很小。在此基礎(chǔ)上，我們提出了一種簡單的捕獲順序信息的方法，即在鄰接矩陣上使用CNN。我們發(fā)現(xiàn)只有一個(gè)三層的CNN表現(xiàn)良好。 我們進(jìn)一步探索了其他CNN模型，如Resnet（He et al. 2016），并討論了CNN模型可以從鄰接矩陣中學(xué)到什么。

O(∩_∩)O
哈哈，學(xué)習(xí)如何證明三層CNN更好，想到自己的論文。

本文的貢獻(xiàn)如下：

• 我們提出了一個(gè)學(xué)習(xí)CFG圖嵌入的通用框架，它可以學(xué)習(xí)語義信息、結(jié)構(gòu)信息和順序信息。
• 在語義感知模塊中，我們采用BERT對(duì)MLM任務(wù)和相鄰節(jié)點(diǎn)預(yù)測（ANP）任務(wù)進(jìn)行token向量（token embeddings）和block向量（block embeddings）的預(yù)訓(xùn)練。此外，我們還添加了兩個(gè)圖級(jí)任務(wù)（graph-level tasks）來更好地學(xué)習(xí)塊表示，分別是圖塊內(nèi)部任務(wù)（BIG）和圖分類任務(wù)（GC）。
• 在順序感知模型中，我們發(fā)現(xiàn)節(jié)點(diǎn)順序是有用的。我們采用了在鄰接矩陣上的CNN模型來提取CFGs的節(jié)點(diǎn)順序信息，并取得了很大的成績。然后，我們探索CNN可以從鄰接矩陣中學(xué)到什么。
• 我們?cè)谒膫€(gè)數(shù)據(jù)集的兩個(gè)任務(wù)上進(jìn)行實(shí)驗(yàn)，結(jié)果表明，我們提出的模型比以前的方法取得了更好的性能。

三.相關(guān)工作

1.Graph Neural Networks
圖神經(jīng)網(wǎng)絡(luò)提出來學(xué)習(xí)節(jié)點(diǎn)表示和圖表示。典型方法包括：

• GCN：使用卷積層來更新節(jié)點(diǎn)嵌入
• GraphSAGE：采用聚合函數(shù)將節(jié)點(diǎn)與其相鄰節(jié)點(diǎn)進(jìn)行合并
• GAT：利用注意機(jī)制從重要節(jié)點(diǎn)接收到更多的信息

2.BERT
BERT是自然語言處理中最先進(jìn)的預(yù)訓(xùn)練模型，通過Transformer實(shí)現(xiàn)。

• MLM
• NSP

3.Binary Code Similarity Detection
二進(jìn)制代碼相似度檢測是計(jì)算機(jī)安全研究中的一項(xiàng)重要任務(wù)。傳統(tǒng)的方法使用圖匹配算法來計(jì)算圖的相似度。然而，這些方法是緩慢和低效的。現(xiàn)有方法缺陷：

• 獲取相似塊對(duì)是一個(gè)有監(jiān)督的過程，需要專家經(jīng)驗(yàn)和領(lǐng)域知識(shí)，以及一些塊不能唯一標(biāo)注。
• 在實(shí)際使用中，需要針對(duì)不同的平臺(tái)組合訓(xùn)練不同的模型。

四.本文方法

1.Overall Structure

本文模型的輸入是二進(jìn)制代碼的控制流圖，其中每個(gè)塊都是一個(gè)帶有中間表示的令牌序列。模型的總體結(jié)構(gòu)如圖3所示，包含semantic-aware 模塊、structural-aware模塊、order-aware模塊。

• 在語義感知模塊，該模型將CFG作為輸入，并使用BERT對(duì)token embedding預(yù)訓(xùn)練，得到block embedding。
• 在結(jié)構(gòu)感知模塊，我們使用MPNN和GRU更新函數(shù)來計(jì)算圖的語義和結(jié)構(gòu)向量（graph semantic & structural embedding），記為 $g_{ss}$。
• 在順序感知模塊，模型以CFG的鄰接矩陣為輸入，采用CNN計(jì)算graph order embedding，記為 $g_o$。

最后，對(duì)兩個(gè)向量使用concat和MLP得到最終的graph embedding，如公式1所示。

2.Semantic-aware Modeling

在語義感知模塊中，我們提出了一個(gè)包含4個(gè)任務(wù)的BERT預(yù)訓(xùn)練模型來處理CFG。這個(gè)模型有幾個(gè)優(yōu)點(diǎn)。

• 首先，可以從不同平臺(tái)、不同架構(gòu)、基于同一模型的不同編譯優(yōu)化選項(xiàng)生成的不同CFG中提取塊向量。
• 其次，可以從訓(xùn)練前的過程中得到令牌級(jí)、塊級(jí)和圖級(jí)的信息，因?yàn)槲覀冇幸粋€(gè)令牌級(jí)任務(wù)、一個(gè)塊級(jí)任務(wù)和兩個(gè)圖級(jí)任務(wù)。
• 最后，訓(xùn)練過程完全基于CFG圖，不需要修改編譯器或其他操作來獲得相似的塊對(duì)。

本文方法的靈感來自于NLP中的句子嵌入任務(wù)，CFG中的塊可以看作句子，塊中的token可以看做單詞。 這個(gè)任務(wù)是提取一個(gè)句子的embedding，完成這個(gè)任務(wù)主要有兩種方法。

• 監(jiān)督方法，如文本分類訓(xùn)練（Joulin et al. 2016）。
• 無監(jiān)督的方法，如n-gram特征和decoder-encoder skip思想（Kiros et al. 2015）。

我們使用基于BERT的改進(jìn)模型來提取CFG上的塊向量。如圖4所示，在我們的訓(xùn)練前過程中有四個(gè)任務(wù)：

• Masked language model（MLM）
• Adjacency node prediction（ANP）
• Block inside graph（BIG）
• Graph classification（GC）

對(duì)于節(jié)點(diǎn)內(nèi)的token序列，我們使用MLM來提取塊內(nèi)的語義信息。MLM是一個(gè)令牌級(jí)任務(wù)，它屏蔽輸入層上的令牌，并在輸出層上預(yù)測它們，和語言模型的方式相同。

鄰接節(jié)點(diǎn)預(yù)測任務(wù)（ANP）是一個(gè)塊級(jí)的任務(wù)。在圖中，塊的信息不僅與塊本身的信息有關(guān)，還與塊本身的鄰居信息有關(guān)，我們希望模型能夠?qū)W習(xí)這些信息。在ANP任務(wù)中，在一個(gè)圖上提取所有相鄰的塊，并在同一個(gè)圖中隨機(jī)抽取幾個(gè)塊，以預(yù)測兩個(gè)塊是否相鄰。這兩個(gè)任務(wù)（MLM & ANP）類似于原始BERT論文中的MLM & NSP任務(wù)（Devlin et al. 2018）。

為了更好地利用graph-level的信息，我們添加了兩個(gè)輔助監(jiān)督任務(wù)BIG和GC。

• BIG任務(wù)與ANP的方式類似，區(qū)別是pair的正負(fù)例選擇方式不同。BIG任務(wù)試圖讓模型判斷兩個(gè)block是否在同一個(gè)圖中，希望模型可以盡可能地學(xué)到此信息，從而對(duì)我們的graph-level任務(wù)有幫助。因此，在BIG任務(wù)中同圖的block pair為正例，不同圖的block pair為負(fù)例。
• GC為graph-level的block分類任務(wù)，在我們的場景中，在不同平臺(tái)、不同編譯器、不同優(yōu)化選項(xiàng)的條件下，得到的block信息有所不同，我們希望模型可以讓block embedding中包含這種信息。GC對(duì)block進(jìn)行分類，判斷block屬于哪個(gè)平臺(tái)，哪個(gè)編譯器，以及哪個(gè)優(yōu)化選項(xiàng)。

3.Structural-aware Modeling

在從BERT預(yù)訓(xùn)練中獲得塊向量后，我們使用MPNN來計(jì)算每個(gè)CFG的graph semantic & structural embedding。MPNN有三個(gè)步驟：message function（M），update function（U）以及readout function（R）。具體步驟如公式2-公式4所示。

其中，G表示整個(gè)圖，v表示節(jié)點(diǎn)，N(v)表示v的相鄰節(jié)點(diǎn)。在本文的場景中，節(jié)點(diǎn)即是控制流圖中的block，圖即是經(jīng)過預(yù)訓(xùn)練后表示成block向量的控制流圖。本文在message步驟使用MLP，update步驟使用GRU，readout步驟使用sum，如公式5-公式7所示。

4.Order-aware Modeling

在這個(gè)模塊中，我們的目標(biāo)是提取CFG節(jié)點(diǎn)的順序信息，本文使用CNN模型來觀察能學(xué)到哪些信息。圖5顯示三個(gè)圖（塊中沒有語義信息）和它們的鄰接矩陣，它們可以通過添加幾個(gè)小變化來相互傳遞。這三個(gè)圖非常相似，每個(gè)圖中都有一個(gè)三角形特征（圖a的節(jié)點(diǎn)123，圖b的節(jié)點(diǎn)234，圖c的節(jié)點(diǎn)134），這個(gè)特征體現(xiàn)在它們的鄰接矩陣中。

首先對(duì)比5(a)和5(b)，與圖5(a)相比，圖5(b)加入了節(jié)點(diǎn)1，節(jié)點(diǎn)順序依次后移一位，但三角形特征中三個(gè)節(jié)點(diǎn)的順序還是連續(xù)的，這個(gè)特征在鄰接矩陣中可以看到，這個(gè)1-1-0-1的2x2矩陣仍然存在。

CNN能捕捉這些信息： CNN在訓(xùn)練集中看過很多這種樣例后，可以學(xué)習(xí)到這種平移不變性。

再看圖5(c），其加入的節(jié)點(diǎn)2打破了原有三角形的節(jié)點(diǎn)順序，然而，在鄰接矩陣中我們可以看到它實(shí)際上是把原來的2x2矩陣放大成了3x3矩陣，當(dāng)我們移除第二行和第二列時(shí)，仍然可以得到一個(gè)1-1-0-1的2x2矩陣。

CNN能學(xué)習(xí)伸縮不變性的信息： 這種這與圖像中的image scaling類似，CNN在訓(xùn)練集中包含足夠多樣例的情況下，也是可以學(xué)到這種伸縮不變性的。

我們討論了CNN的平移不變性和尺度不變性可以學(xué)習(xí)節(jié)點(diǎn)順序的小變化。在二進(jìn)制代碼相似性檢測任務(wù)中，當(dāng)在不同的平臺(tái)上編譯相同的函數(shù)時(shí)，節(jié)點(diǎn)的順序通常沒有很大的變化。大多數(shù)節(jié)點(diǎn)順序的變化都是添加一個(gè)節(jié)點(diǎn)、刪除一個(gè)節(jié)點(diǎn)或交換幾個(gè)節(jié)點(diǎn)，所以CNN在我們的任務(wù)中很有用。除了提高學(xué)習(xí)節(jié)點(diǎn)順序信息的準(zhǔn)確性外，CNN還有幾個(gè)額外的優(yōu)點(diǎn)。

• 首先，與傳統(tǒng)的圖特征提取算法相比，直接在鄰接矩陣上使用CNN要快得多。
• 其次，CNN可以添加到不同大小的輸入上，因此它可以建模不同大小的圖形，而不需要進(jìn)行填充和剪切等預(yù)處理

原文：
Most node order changes are adding a node, deleting a node, or exchanging several nodes, so CNN is useful on our task. Except the accuracy improvement on learning node order information, CNN has several additional advantages. First, comparing with traditional graph feature extracting algorithms, using CNN directly on adjacency matrices is much faster. Second, CNN could be added on inputs with different sizes, so it could model different-size graphs without pre-processing such as padding and clipping.

我們?cè)谌蝿?wù)中使用Resnet（He et al. 2016），使用一個(gè)11層的Resnet，包含3個(gè)residual block，所有的feature map大小均為3x3。之后用一個(gè)global max pooling層，得到graph order embedding。在此之前不用pooling層，因?yàn)檩斎氲膱D的大小不同。具體如公式8所示。

五.實(shí)驗(yàn)分析

1.Datasets

本文在兩個(gè)任務(wù)上進(jìn)行實(shí)驗(yàn)。

• 任務(wù)1是跨平臺(tái)二進(jìn)制代碼分析，同一份源代碼在不同的平臺(tái)上（x86-64和ARM）進(jìn)行編譯，我們的目標(biāo)是使模型對(duì)同一份源代碼在不同平臺(tái)上編譯的兩個(gè)控制流圖pair的相似度得分高于不同源代碼pair的相似度得分。
• 任務(wù)2是二進(jìn)制代碼分類，判斷控制流圖屬于哪個(gè)優(yōu)化選項(xiàng)（O2和O3）。

請(qǐng)注意，我們的方法對(duì)于檢測不同編譯器（如clang & gcc）上的二進(jìn)制代碼也很有用，在本文中，我們不選擇它作為數(shù)據(jù)集。數(shù)據(jù)集的基本統(tǒng)計(jì)數(shù)據(jù)如表1所示。任務(wù)1是排序問題，因此使用MRR10和Rank1作為評(píng)價(jià)指標(biāo)。任務(wù)2是分類問題，因此使用準(zhǔn)確率作為評(píng)價(jià)指標(biāo)。

2.Compared Methods

因?yàn)槲覀兊哪Ｐ陀腥齻€(gè)組成部分，所以進(jìn)行了不同的實(shí)驗(yàn)來找出每個(gè)部分的影響。

• Graph kernel methods
• Gemini
• MPNN
• Word2Vec
• Skip thought
• BERT
• CNN-based models
• CNN (random)
• MPNN (without semantic)
• MPNN (without semantic) + CNN
• Our model：Our model is BERT (4 tasks) + MPNN + 11-layer Resnet, which contains both semantic-aware modeling, structural-aware modeling, and order-aware modeling.

3.Results

總體性能（Overall performance）
表2和表3顯示了不同模型在兩個(gè)任務(wù)上的總體性能。表中第一個(gè)分塊是整體模型，包括graph kernel，Gemini以及MPNN模型。第二個(gè)分塊是semantic-aware模塊的對(duì)比實(shí)驗(yàn)，分別使用了word2vec，skip thought，以及BERT，其中BERT2是指原始BERT論文中的兩個(gè)task（即MLM和ANP），BERT4是指在此基礎(chǔ)上加入兩個(gè)graph-level task（BIG和GC）。第三個(gè)分塊是對(duì)order-aware模塊的對(duì)比實(shí)驗(yàn)，基礎(chǔ)CNN模型使用3層CNN以及7、11層的Resnet，CNN_random是對(duì)訓(xùn)練集中控制流圖的節(jié)點(diǎn)順序隨機(jī)打亂再進(jìn)行訓(xùn)練，MPNN_ws是去除控制流圖節(jié)點(diǎn)中的語義信息（所有block向量設(shè)為相同的值）再用MPNN訓(xùn)練。最后是本文的最終模型，即BERT+MPNN+Resnet。

本文提出的模型與Gemini模型相比，在任務(wù)1和任務(wù)2上的評(píng)價(jià)指標(biāo)分?jǐn)?shù)均大幅提升。semantic-aware模塊使用NLP模型（word2vec，BERT等）均優(yōu)于使用人工提取的特征。只使用order-aware時(shí)模型也取得了不錯(cuò)的效果。與其它所有模型相比，本文提出的模型均取得了更優(yōu)的效果。

語義感知（Model variants for semantic-aware modeling）
只看表中第二個(gè)分塊，BERT的結(jié)果優(yōu)于word2vec和skip thought，因?yàn)锽ERT能在預(yù)訓(xùn)練過程中提取更多的信息。 為了驗(yàn)證BERT預(yù)訓(xùn)練是否必要和有效，我們研究了幾個(gè)變體。首先，基于NLP的訓(xùn)練前塊特征（word2vec、skip thought、BERT 2和4）比手動(dòng)特征具有更好的性能，這表明為CFG塊構(gòu)建復(fù)雜的模型是必不可少的。與word2vec和skip thought相比，使用MLM和ANP任務(wù)的BERT不僅考慮塊級(jí)預(yù)測，還考慮令牌級(jí)預(yù)測，并且雙向轉(zhuǎn)換器更具有提取有用信息的能力。

BIG任務(wù)和GC任務(wù)也很有用，其結(jié)果增加了1% - 2%。在這兩個(gè)任務(wù)中，塊嵌入可以學(xué)習(xí)圖信息，這可能有助于處理圖任務(wù)。在圖6中顯示了塊嵌入，四個(gè)cfg及其塊嵌入被設(shè)置在四個(gè)方向上。我們采用K-means將這些塊嵌入聚為四類，不同的集群有不同的顏色（紅色、藍(lán)色、綠色和紫色）。我們可以觀察到，同一圖中的塊的趨勢(shì)是有相同的顏色，而不同的圖有不同的主色。

順序感知（Model variants for order-aware modeling）
只有使用基于cnn的模型才能在這兩個(gè)任務(wù)上都能取得良好的效果。11層Resnet比3層CNN和7層Resnet稍微好一些。與mpnws相比，基于cnn的模型獲得了更好的性能。當(dāng)隨機(jī)變換節(jié)點(diǎn)時(shí)，CNN什么也學(xué)不到。這意味著CNN模型可以學(xué)習(xí)節(jié)點(diǎn)的順序

觀察表中第三個(gè)分塊，CNN模型在兩個(gè)任務(wù)上都取得了不錯(cuò)的效果。Resnet11優(yōu)于Resnet7和CNN3。與MPNN_ws相比，CNN效果更優(yōu)。隨機(jī)打亂節(jié)點(diǎn)順序后，CNN模型效果大幅下降，這表示CNN模型確實(shí)可以學(xué)到節(jié)點(diǎn)順序信息。圖7是控制流圖pair的例子，這個(gè)函數(shù)為“ZN12libfwbuilder15RuleElementRGtw13validateC-hildEPNS8FWObjectE“。

• 左邊是在gcc&x86-86上編譯的控制流圖
• 右邊是在gcc&ARM上編譯的控制流圖

可以看到，左圖的節(jié)點(diǎn)3在右圖中被拆成節(jié)點(diǎn)3和節(jié)點(diǎn)4，除此之外其它節(jié)點(diǎn)的順序與邊的連接方式均相同。經(jīng)過CNN模型的計(jì)算，這兩個(gè)圖的cosine相似度為0.971，排序rank的排名為1。這表明CNN模型可以從鄰接矩陣中學(xué)到控制流圖的節(jié)點(diǎn)順序。

六.結(jié)論

本文提出了一個(gè)新的模型，用于解決二進(jìn)制代碼分析的問題。本文的模型中包含semantic-aware模塊，structural-aware模塊以及order-aware模塊。我們觀察到語義信息和節(jié)點(diǎn)順序信息都是控制流圖重要的特征。我們使用BERT預(yù)訓(xùn)練模型提取語義信息，并使用CNN模型提取節(jié)點(diǎn)順序信息。實(shí)驗(yàn)結(jié)果表明，本文提出的模型與之前最優(yōu)的模型相比，取得了更好的效果。

七.個(gè)人感受

這篇文章就寫到這里，希望對(duì)您有所幫助。由于作者英語實(shí)在太差，論文的水平也很低，寫得不好的地方還請(qǐng)海涵和批評(píng)。同時(shí)，也歡迎大家討論，繼續(xù)加油！感恩遇見，且看且珍惜。

(By:Eastmount 2023-04-06 周四夜于武漢 http://blog.csdn.net/eastmount/ )文章來源地址http://www.zghlxwxcb.cn/news/detail-620112.html

到了這里，關(guān)于[論文閱讀] (27) AAAI20 Order Matters: 基于圖神經(jīng)網(wǎng)絡(luò)的二進(jìn)制代碼相似性檢測（騰訊科恩實(shí)驗(yàn)室）的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！