46、在代码属性图中表示LLVM - IR及硬件性能计数器在恶意软件检测中的应用探讨

在代码属性图中表示LLVM - IR及硬件性能计数器在恶意软件检测中的应用探讨

一、在代码属性图中表示LLVM - IR

在代码分析领域，将LLVM - IR（Low - Level Virtual Machine Intermediate Representation）表示在代码属性图（Code Property Graph，CPG）中具有重要意义，但也面临诸多挑战。

1. 特定编程语言的挑战

   • Objective - C和Swift ：对于用Apple的编程语言Swift或Objective - C编写的应用程序，其调用约定与其他编程语言有显著差异。例如，Objective - C使用动态调度例程，需要对方法的参数进行广泛跟踪，以恢复类型信息和方法名。这些信息虽然存在于CPG中，但需要进行组合才能识别调用。同样，Swift的调用约定和内存模型与C++有很大不同，目前这些差异尚未得到充分探索，未来需要将这些特性集成到CPG中。
   • C和C++的宏 ：用C或C++编写的软件可能会依赖宏，宏在源代码中使用方式类似于函数调用，但在LLVM - IR中会被具体实现所替代。这种差异需要得到适当处理，以更好地分析此类程序。目前，解决源代码和二进制文件之间的不一致性主要依赖于CPG库用户的手动工作，需要进一步努力减少手动工作量，提高分析工具链的可用性。

2. 闭源软件分析
   将解决方案应用于闭源软件分析是很有前景的。例如，