PDGcross:基于跨文件图表征的源代码漏洞检测

来源：计算机技术与发展杂志2023年第08期北京时间：

作者：熊可欣;李涛*;余琴;乔梦晴

单位：1. 武汉科技大学 计算机科学与技术学院,湖北 武汉 430065;2. 智能信息处理与实时工业系统湖北省重点实验室,湖北 武汉 430065

摘要：随着软件安全性需求不断增长,大量的研究工作将深度学习应用于漏洞检测领域,目前存在多种源代码漏洞检测方法。 现阶段在检测单个文件中由于函数调用导致的漏洞方面有较好的效果,但由于复杂函数调用关系可能涉及到多个文件,针对多文件的漏洞检测是当前的检测难点之一。 因此,该文在源代码程序依赖图的基础上提出了一个新的图表征PDGcross,从一个文件入口合并其他被调 用 的 文 件, 生 成 一 个 图 表 征 即 PDGcross。 再 运 用 Node2Vec 图 嵌 入 算 法 将PDGcross 进一步处理为特征矩阵,利用长短时记忆神经网络训练出漏洞分类模型,实现了一种基于跨文件程序依赖图表征和深度学习的源代码检测方法。 在实验中,针对跨文件间的函数调用产生的漏洞,Fortify 和 PDG 表征的检测效率很低,而提出的基于 PDGcross 表征的检测方法则明显优于该两类方法。

关键词：函数调用;程序依赖图;漏洞检测;源代码;深度学习