二进制代码相似度比较研究技术汇总

在对二进制应用程序进行安全分析过程中，二进制代码相似度比较技术是重要的技术手段之一，基于此技术，可以实现对恶意代码极其变种的追踪，已知漏洞检测、补丁存在性检测。该技术基础理论依据是如果源代码中存在的属性(恶意代码、已知漏洞、漏洞修复补丁)即使相同源代码编译出不同的二进制代码(cpu架构、OS、编译选项等会直接导致编译出来的二进制会存在较大的差别)，这些属性在二进制代码中也是存在的(好像是废话，不然编译构建工具就有问题了)。因此若在一个样本二进制文件中已知存在上述类型的属性，如果发现另外一个待检测二进制代码和样本二进制代码相似，那么可以认为待检测二进制代码也存在相同类型的属性。

我们知道编译生成二进制代码的影响因素非常的多，同一套源代码基于不同因素的组合可以生成非常多不同二进制程序。
CPU架构：X86、ARM、MIPS、PPC、RISC-V；
架构位数：32bits、64bits；
OS：Linux、Windows、Android、鸿蒙、VxWork；
编译选项：O0~O3；
安全编译选项：BIND_NOW、NX、PIC、PIE、RELRO、SP、FS、Ftrapv等；
按这些选项可以有5x2x5x4x8 =1600个组合，从中可以看出二进制代码相似度比较技术不管是学术界还是工业界来说都是一个挑战技术。但是基于广阔的应用前景，20多年来学术界一直在不停的探索和研究新的方法想来解决这个技术挑战，并且也取得了一定的成果，下面就该方面的技术进行一些梳理，让大家对二进制代码相似度比较技术有一个大致的了解。