[发明专利]二进制代码文件溯源方法

权利要求书

1.一种二进制代码文件溯源方法，其特征在于，具体包括以下步骤：

第一步，二进制文件反汇编：将二进制文件中的代码段转化成汇编代码；

第二步，二进制代码特征计算：基于汇编代码生成二进制代码文件的Simhash值；

第三步，基于特征的文件溯源：通过计算两个Simhash值之间的汉明距离，就可以判定两个二进制代码文件是否相似，完成二进制代码文件的溯源。

2.根据权利要求1所述的一种二进制代码文件溯源方法，其特征在于，第一步中，将二进制文件中的代码段转化成汇编代码后，删除与程序代码特征无关信息，并对获取的汇编代码进行处理。

3.根据权利要求2所述的一种二进制代码文件溯源方法，其特征在于，对获取到的汇编代码进行如下处理：

(1)寄存器依据所占位数分别标准化为REG32、REG16、REG18；

(2)内存均表示为MEM；

(3)立即数表示为VAL；

(4)CALL指令调用函数时统一规范化为“CALL FUNCTION”；

(5)跳转指令统一规范化为“JZ LOCATION”。

4.根据权利要求2所述的一种二进制代码文件溯源方法，其特征在于，第二步中，二进制代码特征计算过程主要包括分词、散列、加权、合并、降维，最终生成长度为64位的Simhash特征值。

5.根据权利要求4所述的一种二进制代码文件溯源方法，其特征在于，第二步中，二进制文件代码特征计算过程具体如下：

分词：按照汇编指令对汇编代码进行分词处理，同时根据每种指令出现的频率，赋予权值；

散列：针对每种汇编指令使用相同的哈希函数计算出一个64位的指纹值α，此时的汇编指令就转化成一系列的数字；

加权合并：针对散列后的每种汇编指令进行加权合并处理，形成向量β；

降维：针对向量β进行降维处理，形成最终的特征值S，特征值S就是最终形成的64位二进制代码文件Simhash特征值。

6.根据权利要求5所述的一种二进制代码文件溯源方法，其特征在于，加权合并中，如果指纹值α的第i位为1，0<i<64,则向量β的第i位加上该汇编指令的权重，否则减去该汇编指令的权重。

7.根据权利要求5所述的一种二进制代码文件溯源方法，其特征在于，加权合并中，如果向量β的第i位大于0，则将S的第i位设为1，否则设为0。

8.根据权利要求1-7任一项所述的一种二进制代码文件溯源方法，其特征在于，第三步中，通过查找汉明距离为3以内的二进制代码文件即可实现二进制代码文件的相似性比对。

9.根据权利要求1-7任一项所述的一种二进制代码文件溯源方法，其特征在于，第三步的具体方法如下：

将64位Simhash特征值S切分为相同长度的4部分，每部分16位，即S＝[s₁,s₂,s₃,s₄]，然后针对s₁、s₂、s₃、s₄和S以及二进制代码文件创建倒排索引；

对于一个待比对的Simhash特征值SP，使用相同方式切分为4个部分，即SP＝[sp₁,sp₂,sp₃,sp₄]，然后针对sp_i检索具有相同对应部分s_i的Simhash特征值S，i＝1,2,3,4，并进行汉明距离的计算,如果特征值SP和S之间的汉明距离不大于3，则说明这两个特征值对应的二进制文件相似，也即表明待比对文件溯源成功。