[发明专利]一种基于函数层编码的App克隆检测方法及系统

权利要求书

1.一种基于函数层编码的App克隆检测方法，其特征在于，该方法包括以下步骤：

S1.提取待检App和样本库App字节码反编译的smali文件中的函数控制流图；

S2.提取待检App和样本库App的每个函数控制流图的每个代码块的属性特征，根据代码块的属性特征和函数控制流图的拓扑结构，构成函数控制流图的空间特征；

S3.基于图嵌入编码算法，将提取到的函数控制流图的空间特征单调映射为函数的编码特征向量；

S4.根据提取到的样本库App的各函数的编码特征向量，将App中的重复函数以及第三方库函数过滤删除，得到待检App和样本库App的核心函数编码特征向量；

S5.将待检App的核心函数编码特征向量与样本库App的核心函数编码特征向量进行搜索比对，得到App克隆检测结果；

步骤S3包括以下子步骤：

S31.利用下列公式对App中函数特征进行编码：

S32.使用图嵌入图匹配算法，学习节点间的逻辑跳转信息以及代码块的字节信息，让损失函数为0，求解各函数的编码特征向量对应的平均权重w；

S33.根据各函数的编码特征向量对应的平均权重w和函数各代码块的权重，计算函数的编码特征向量；

其中，w_i是函数第i个代码块的权重，向量表示第i个代码块提取到的属性特征，表示函数的编码特征向量，|v|表示该函数控制流图的代码块数目；O₁表示一级跳转结构的损失函数，O₂表示全局跳转结构的损失函数，e(i,j)∈E表示边集合E中边(i,j)，N(i,j)表示节点i和节点j的共同邻居节点数目，d_i表示节点i的度。

2.如权利要求1所述的方法，其特征在于，所述函数控制流图中，每个节点代表函数中的一个代码块，每条边表示代码块之间的调用关系，有向边表示的是控制流图的跳转结构。

3.如权利要求1所述的方法，其特征在于，步骤S2中提取到的代码块属性特征其中，S_i、p_i、a_i、o_i、l_i、分别表示第i个代码块在控制流图中的序列编号、第i个代码块的操作码数目、第i个代码块调用API接口的数目、第i个代码块在控制流图中的出度、第i个代码块在控制流图的循环结构的数目。

4.如权利要求1所述的方法，其特征在于，函数的编码特征向量计算公式如下：

其中，e(i,k)表示以i为起点且k为终点的边，E_j表示第j个函数控制流图的边集合。

5.如权利要求1所述的方法，其特征在于，步骤S4中，对提取到的样本库App的各函数编码特征向量进行两次聚类，将App中的重复函数以及第三方库函数过滤删除，得到待检App和样本库App的核心函数编码特征向量。

6.如权利要求1所述的方法，其特征在于，步骤S4包括以下子步骤：

S41.删除每个App中重复的函数；

S42.让带有相同函数的编码特征向量对应的平均权重w的对应函数编码特征向量聚集在同一类中，选取聚类函数数目在前第一预设值的函数编码特征向量聚类；

S43.将同一聚类中函数编码特征向量完全对应相同的函数，重新放置到同一类别中，并将所有聚类中函数数目在前第二预设值的函数作为第三方库函数；

S44.删除待检App和样本库App中包含这些第三方库函数的函数编码特征向量，剩下的就是App核心功能的函数编码特征向量。