基于深度学习的混合语言源代码漏洞检测方法

摘要

现有基于深度学习的源代码漏洞检测方法主要针对单一编程语言进行特征学习，难以对混合编程语言软件项目因代码单元间的关联和调用产生漏洞进行有效检测.因此，本文提出了一种基于深度学习的混合语言源代码漏洞检测方法 DL-HLVD.首先利用BERT层将代码文本转换为低维向量，并将其作为双向门控循环单元的输入来捕获上下文特征，同时使用条件随机场来捕获相邻标签间的依赖关系；然后对混合语言软件中不同类型编程语言的函数进行命名实体识别，并将其和程序切片结果进行重构来减少代码表征过程中的语法和语义信息的损失；最后设计双向长短期记忆网络模型提取漏洞代码特征，实现对混合语言软件漏洞检测.在SARD和CrossVul数据集上的实验结果表明，DL-HLVD在两类漏洞数据集上识别软件漏洞的综合召回率达到了95.0%,F1值达到了93.6%，比最新的深度学习方法 VulDeePecker、SySeVR、Project Achilles在各个指标上均有提升，说明DL-HLVD能够提高混合语言场景下源代码漏洞检测的综合性能.

关键词

漏洞检测 / 命名实体识别 / 程序切片 / 混合语言

基金资助

国家自然科学基金资助项目（61762058）; 甘肃省教育厅产业支撑项目（2022CYZC-38）; 国家电网科技项目（W32KJ2722010,522722220013）; 甘肃省重点研发计划项目（25YEFA089）