[論文レビュー] Augmenting Decompiler Output with Learned Variable Names and Types

Qibin Chen, Jeremy Lacomis+4 more|arXiv (Cornell University)|Aug 13, 2021

Software Engineering Research参考文献 57被引用数 11

ひとこと要約

この論文では、人間が書いたCコードの統計的パターンを学習することで、decompiler出力の意味のある変数名と型を自動的に予測する深層学習アプローチ、DIRTYを紹介する。GitHubの大きなデータセットで学習されたDIRTYは、元の変数名を66.4%の正確さで回復可能であり、元の型についても75.8%の正確さを達成しており、コード構造と命名規約の文脈的パターンを活用することで、従来の手法を著しく上回っている。

ABSTRACT

A common tool used by security professionals for reverse-engineering binaries found in the wild is the decompiler. A decompiler attempts to reverse compilation, transforming a binary to a higher-level language such as C. High-level languages ease reasoning about programs by providing useful abstractions such as loops, typed variables, and comments, but these abstractions are lost during compilation. Decompilers are able to deterministically reconstruct structural properties of code, but comments, variable names, and custom variable types are technically impossible to recover. In this paper we present DIRTY (DecompIled variable ReTYper), a novel technique for improving the quality of decompiler output that automatically generates meaningful variable names and types. Empirical evaluation on a novel dataset of C code mined from GitHub shows that DIRTY outperforms prior work approaches by a sizable margin, recovering the original names written by developers 66.4% of the time and the original types 75.8% of the time.

研究の動機と目的

• 逆アセンブルとプログラムの理解を妨げる、decompiler出力における意味のある変数名や型の欠如を解決すること。
• 人間が書いたCコード内のパターンをモデル化することで、失われた高レベルの抽象化――特に変数名と型――を回復すること。
• 意味的に意味のある識別子と型アノテーションを生成することで、decompiledバイナリの可読性と理解可能性を向上させること。
• コンパイル中に情報損失が生じるため、決定論的なdecompilationでは元の名前やカスタム型を回復できないという制限を克服すること。
• 実世界のCプログラムから得た新規で大規模なデータセットを用いて、学習された命名および型推定の有効性を評価すること。

提案手法

• DIRTYは、GitHubから抽出した大規模なCコードデータセットを用いて学習された、変換器ベースのシーケンス・ツー・シーケンスモデルであり、decompiled関数テキストから変数名と型を予測する。
• 変数の使用パターン、関数シグネチャ、データレイアウトなどの周囲のコード構造からの文脈的情報を活用して、妥当な名前と型を推定する。
• 型予測のため、メモリレイアウトの制約を考慮し、未知語彙の型に対応するためにBPE（バイトペア符号化）のトークン化戦略を用いるが、予備の実験でこの手法は正確さを低下させ、推論時間を延長することが判明した。
• 実世界のコードにおける繰り返し発生する文脈的に一貫した命名規則を学習することで、命名および型付けのパターンをモデル化し、未観測だが構造的に類似した変数への一般化を可能にする。
• モデルは、入力がdecompiledされたCに類似したコードで、出力が各変数の予測名と型であるdecompiled関数テキストでファインチューニングされる。
• レアまたは未観測の型に対処するために、複雑な型のBPEベースの分解を検討するが、これはカバレッジとパフォーマンスのトレードオフとして指摘されている。

実験結果

リサーチクエスチョン

• RQ1 元のソースが利用できない状況下で、学習されたモデルはdecompiled Cコードから元の変数名を効果的に回復できるか？
• RQ2 深層学習モデルは、コードの文脈とメモリレイアウトに基づいて、正しい変数型をどの程度推定できるか？
• RQ3 DIRTYの性能は、従来の最先端手法と比較して、変数名および型の回復においてどのように異なるか？
• RQ4 BPEベースのトークン化は、decompiledコードにおける未確認または複雑な型の予測にどのような影響を与えるか？
• RQ5 decompiledコードがCに変換された場合、DIRTYはC以外の言語に対しても一般化可能か？ また、C++クラスのような高レベルの言語的構文にはどの程度対応できるか？

主な発見

• DIRTYは、decompiled関数のホールドアウトテストセットにおいて、開発者が使用した元の変数名を66.4%の正確さで回復可能である。
• モデルは元の変数型を75.8%の正確さで回復しており、従来のアプローチを著しく上回っている。
• 実証的評価により、DIRTYの性能は多様なコードベースで安定しており、未観測の関数や変数パターンに対しても良好な一般化性能を示している。
• BPEによる型の分解は、レアな型のカバレッジを向上させたが、全体の予測正確さを低下させ、推論時間を延長したため、設計上のトレードオフが生じていることが示された。
• DIRTYはstd::stringのようなC++関連の型に対しても高い性能を示しており、decompiled Cに変換された場合の高レベル言語構文への部分的な対応が可能であることが示された。
• モデルの有効性は、入力長の制限によって制限を受けるが、関数の8.8%しか512トークンの制限を超えず、実際には最小限のデータ損失が生じると考えられる。