二进制代码漏洞特征提取：反汇编vs反编译？

      二进制代码本身由“0”和“1”组成，这些字符很难被人理解，并且包含的语义信息较低。因此，二进制程序的漏洞检测通常基于对二进制代码进行反汇编得到的汇编代码来提取语法、语义、结构等特征。然而，由于编译的多样性，二进制程序会产生很大的变化，这使得汇编代码差异较大。例如，如图1所示，用GCC O1和GCC O3编译示例程序（来自于SARD中的CWE122_Heap_Based_Buffer_Overflow__cpp_CWE193_char_cpy_44.cpp），然后通过IDA Pro反汇编得到汇编代码。基于反汇编的结果可以发现：

    众所周知，漏洞的原因通常只与少数几条指令有关。但是，这种编译的多样性会影响指令的更改，使得基于汇编代码提取更健壮的漏洞特征变得困难。

图1 一个通过不同优化级别编译的二进制文件反汇编得到的汇编代码比较的示例

图2 一个通过不同优化级别编译的二进制文件反编译得到的伪代码比较的示例

      当前的反编译技术得到了迅速的发展。有许多优秀的反编译工具，如IDA。此外，反编译技术还被用于静态二进制代码分析的各个领域。如图2所示是利用IDA反编译代码的示例。虽然反编译不同优化级别的二进制文件获得的伪代码之间存在差异，如变量名更改（O1中的v3和v4 vs. O3中的v2和v3）和删除语句（O1中的12和14行）。然而，这种差异只有较少的语句被影响，这些影响可以被缓解。与图1中的汇编代码相比，伪代码受编译多样性的影响更小。

      现在有许多可用的反编译工具，如IDA Pro和Ghidra。然而，并不是所有反编译器反编译的伪代码都是有用的，因为所获得的伪代码的质量是不同的。在同样的二进制程序中评估了IDA Pro， Ghidra ， RetDec和Radare2 等四款反编译器，并使用图3显示其中一个反编译伪代码的示例。可以从反编译的结果中总结出以下的发现:

      从反编译的角度来讲，商业化的IDA相比其它开源的软件还是有不少优势。而且当前还存在很多利用机器学习的方法来进一步提升反编译代码的质量，当进一步利用这些技术时，获得的伪代码将更加准确，也更有利于后续的分析任务。

图3 不同反编译器得到的伪代码的示例

      总体而言，反编译伪代码在高级语义结构信息方面相比汇编代码和中间表示具有优势。例如，反编译可以重构控制结构，如不同类型的循环和分支结构。因此，有可能通过反编译生成程序的合理准确的高级语言表示。此外，分析二进制代码和中间表示的时间和空间复杂性要比分析相应的伪代码的时间和空间复杂性大。因此反编译伪代码被用于二进制程序的安全性分析是一个很有意义的领域。