人工智能和模糊测试漏洞扫描系统(AIFuzz)技术方案

本系统涉及计算机软件安全领域，针对计算机软件漏洞扫描公开了一种既可以在机器语言也可以直接在二进制语言(即机器语言)上基于人工智能的自动化漏洞扫描系统，命名为AIFuzz漏洞扫描系统，其中，AIFuzz漏洞扫描系统是在自动化人工智能漏洞扫描系统基础上开发的漏洞扫描系统，它包括基于人工智能的漏洞扫描；在人工智能已经是别的漏洞的前提下，利用强化学习和人工智能技术引导模糊测试工具，进一步测试可能存在的漏洞，从而减少误报率。本申请实施例的方法，用户即能够扫描源码，也可以在拿不到源码的前提下，对购买的软件进行漏洞扫描，从而解决了对闭源软件快速的进行漏洞扫描的问题。同时我们是在自动化人工智能漏洞扫描系统的基础上开发的，既可以扫描大的软件，也可以引导模糊测试模型，对扫描出来的漏洞进行二次扫描，减少误报率，从而避免了现存的一些软件面对大的软件效率非常底下的问题。

Artificial intelligence and fuzzy testing vulnerability scanning system (aifuzz)

【技术实现步骤摘要】
人工智能和模糊测试漏洞扫描系统(AIFuzz)
本系统涉及计算机软件安全领域，针对计算机软件漏洞扫描研发了一种既可以在源码也可以直接在二进制语言(即机器语言)上进行漏洞扫描系统，命名为AIFuzz漏洞扫描系统。
技术介绍
近年来，计算机软件呈现了爆发式的增长，计算机软件的漏洞和计算机软件的发展呈现了正相关性。研究表明网络空间安全事件的一个主要原因是软件中难以发现的漏洞和难以实现的漏洞扫描。统计表明到2019年，网络犯罪的全球成本将达到2万亿美元，是2015年估计的5000亿美元的三倍。今年全球打击网络犯罪的支出将达到800亿美元。同时，闭源软件也给漏洞的扫描带来了很大的挑战。目前静态分析的技术主要是基于源码进行分析的，比如形式化验证，符号验证和污点分析等都需要源码来进行漏洞的挖掘，基于目前很多软件都不是开源软件，这就给目前的静态分析技术带来了很大的挑战。同时目前也有动态扫描技术可以对基于二进制语言的软件进行扫描，但是常用的系统比如fuzzing会因为输入问题导致测试崩溃，改进的fuzzing系统也面临各种问题，比如符号执行支持的fuzzing依本文档来自技高网...

【技术保护点】
1.人工智能和模糊测试漏洞扫描系统(AIFuzz)，其特征包括：/n根据人工智能漏洞检测系统检测的结果，本文中称为目标函数，处理并清洗目标函数；利用强化学习来学习目标函数，结合种子数据产生输入数据，作为模糊测试的输入数据；/n并将目标函数存储至第一预设数据库中，强化学习产生的输入数据存储至第二预设数据库中。/n

【技术特征摘要】
1.人工智能和模糊测试漏洞扫描系统(AIFuzz)，其特征包括：
根据人工智能漏洞检测系统检测的结果，本文中称为目标函数，处理并清洗目标函数；利用强化学习来学习目标函数，结合种子数据产生输入数据，作为模糊测试的输入数据；
并将目标函数存储至第一预设数据库中，强化学习产生的输入数据存储至第二预设数据库中。


2.根据权利要求1所述的方法，运行模糊测试工具，有针对性的对目标函数进行扫描；
如果目标函数被扫描后显示没有漏洞，该函数被标记为误报，如果目标函数被检测出有漏洞，我们标记为漏洞函数，如果因为模糊测试的输入问题，导致目标函数没有通过扫描或者说模糊测试没有成功扫描到该目标函数，该函数被标记为漏扫函数；
并将处理的漏洞函数和漏扫函数的信息分别存储至第三和第四预设数据库中。


3.根据权利要求2所述的方法，其特征在于，对漏扫的函数进行分析，包括：
利用angr(angr是一个基于符号执行和模拟执行的二进制框架)或者相应的工具提取该漏扫函数的控制流程图，利用长短记忆力模型对数据进行编码，学习重要的特征，最终从长短记忆力模型的倒数第二层提出特征，利用我们研发的公式计算种子输入和目标函数的距离，并将处理后的该被扫描的软件信息存储至第五预设数据库中。


4.根据权利要求3所述的方法，在长短记忆力模型的帮助下，计算距离并重新运行模糊测试工具，其特征在于：
先用我们研发的公式计算距离，然后利用模糊测试工具针对性的扫描目标函数的位置，如果距离偏大，函数返回强化学习模型重新产生输入数据，输出结果为检测完的函数，标记为误报函数或者漏扫函数；
并将处理的函数数据的信息存储至相应的数据库中。


5.根据权利要求1，2或3所述的方法，其...

【专利技术属性】
技术研发人员：刘士刚，
申请(专利权)人：刘士刚，
类型：发明
国别省市：陕西;61