基于智能模糊测试的深度漏洞挖掘技术研究

项目名称： 基于智能模糊测试的深度漏洞挖掘技术研究

项目编号： No.61772506

项目类型： 面上项目

立项/批准年度： 2018

项目学科： 自动化技术、计算机技术

项目作者： 程亮

作者单位： 中国科学院软件研究所

项目金额： 16万元

中文摘要： 漏洞挖掘技术一直是信息安全领域研究的热点，近年来基于模糊测试的漏洞挖掘方法由于速度快、自动化程度高以及易于扩展渐成主流。然而由于模糊测试生成新测试用例时的随机性以及现有工具过分强调代码覆盖率，导致现有此类方法在探索程序空间时缺乏智能引导、难以对复杂代码区域深入测试。本项目提出综合静态程序分析、机器学习等多种方法，利用漏洞历史知识和程序内部信息指导模糊测试对危险代码区域重点测试。为此，研究基于机器学习的路径导向技术，引导模糊测试对未知区域进行深度测试的方法。

中文关键词： 漏洞挖掘；模糊测试；污点分析；补丁比对；软件安全漏洞

英文摘要： Vulnerability detection has been a hot topic in information security. Fuzzing based vulnerability detection is becoming the mainstream approach because it is fast, highly automatic and scalable. However, the randomness of fuzzing when generating new test cases and the excessive focus on code coverage of current fuzzing tools lead to the lack of intended guide and hard to dive into complex code fragment when exploring the state space of a program. This project proposes leveraging static program analysis and machine learning to discover the knowledge inside a program and from known vulnerabilities, which can next guide the fuzzing engine to intensely test vulnerable code fragments. To do so, we plan to develop machine learning-based path guiding technique, in order to guide fuzzing to deeply test unknown code fragment.

英文关键词： Vulnerability detection;Fuzzing;Taint analysis;Patch comparison;Software security vulnerability