[논문 리뷰] XDA: Accurate, Robust Disassembly with Transfer Learning

Kexin Pei, Jonas Guan외 3명|arXiv (Cornell University)|2020. 10. 02.

Software Engineering Research참고 문헌 52인용 수 4

한 줄 요약

XDA는 기계어에서 문맥적 바이트 종속성을 학습하기 위해 마스킹된 언어 모델링을 사용하는 전이학습 기반의 분해 프레임워크로, 매우 정확하고 강력한 분해를 가능하게 한다. 함수 경계 복구에 대해 99.0%의 F1 스코어를 기록하고 지침 복구에 대해 99.7%를 기록하여 이전의 최상위 기술을 능가하면서도 높은 속도를 유지한다.

ABSTRACT

Accurate and robust disassembly of stripped binaries is challenging. The root of the difficulty is that high-level structures, such as instruction and function boundaries, are absent in stripped binaries and must be recovered based on incomplete information. Current disassembly approaches rely on heuristics or simple pattern matching to approximate the recovery, but these methods are often inaccurate and brittle, especially across different compiler optimizations. We present XDA, a transfer-learning-based disassembly framework that learns different contextual dependencies present in machine code and transfers this knowledge for accurate and robust disassembly. We design a self-supervised learning task motivated by masked Language Modeling to learn interactions among byte sequences in binaries. The outputs from this task are byte embeddings that encode sophisticated contextual dependencies between input binaries' byte tokens, which can then be finetuned for downstream disassembly tasks. We evaluate XDA's performance on two disassembly tasks, recovering function boundaries and assembly instructions, on a collection of 3,121 binaries taken from SPEC CPU2017, SPEC CPU2006, and the BAP corpus. The binaries are compiled by GCC, ICC, and MSVC on x86/x64 Windows and Linux platforms over 4 optimization levels. XDA achieves 99.0% and 99.7% F1 score at recovering function boundaries and instructions, respectively, surpassing the previous state-of-the-art on both tasks. It also maintains speed on par with the fastest ML-based approach and is up to 38x faster than hand-written disassemblers like IDA Pro. We release the code of XDA at https://github.com/CUMLSec/XDA.

연구 동기 및 목표

• 기본 구조인 함수 경계와 지시어가 손실된 스트립드 바이너리의 정확하고 강력한 분해 문제를 해결하기 위해.
• 특히 컴파일러 최적화에서 취약하고 자주 부정확한 히ュ리스틱 기반 분해기의 한계를 극복하기 위해.
• 자기지도 학습을 통해 대규모 바이트 시퀀스에서 사전 훈련함으로써 기계학습 기반 분해의 일반화 능력과 강성을 향상시키기 위해.
• 다양한 컴파일러(GCC, ICC, MSVC), 아키텍처(x86/x64), 플랫폼(Linux/Windows), 최적화 수준에서 높은 성능을 유지하는 프레임워크를 개발하기 위해.

제안 방법

• 3,121개의 스트립드 바이너리에서 마스킹된 언어 모델링(MLM) 목적을 사용해 트랜스포머 기반 모델을 사전 훈련하여 문맥적 바이트 종속성을 학습한다.
• 하류 분해 작업인 함수 경계 탐지 및 지시어 복구를 위해 작업에 특화된 피드포워드 레이어로 사전 훈련된 모델을 미세조정한다.
• 라벨 없이도 저수준 코드 의미를 학습하기 위해 자기지도 사전 훈련 단계를 활용하여 하류 작업으로의 전이를 가능하게 한다.
• 어텐션 메커니즘을 활용해 바이트 간 장거리 종속성을 포착함으로써 암묵적으로 프로로우/에필로그 패턴과 제어 흐름 구조를 학습한다.
• 훈련 세트와 테스트 세트 간 중복 비율을 3% 미만으로 유지하는 데이터 파이프라인을 설계하여 일반화 능력을 검증한다.
• 다양한 컴파일러와 최적화 수준으로 컴iles된 실제 바이너리에서 F1 스코어를 사용해 성능을 평가한다.

실험 결과

연구 질문

• RQ1 마스킹된 언어 모델링과 같은 자기지도 사전 훈련 목적은 기계어에서 저수준 코드 의미를 분해에 효과적으로 학습하는 데 유용한가?
• RQ2 다양한 바이너리에서 사전 훈련한 전이학습이 컴파일러와 최적화 수준에 걸쳐 분해 정확성과 강성을 향상시키는가?
• RQ3 비중복 테스트 데이터에서 평가했을 때, 기계학습 기반 분해기가 히ュ리스틱 기반 도구보다 더 잘 일반화되는가?
• RQ4 정확성, 속도, 강성 측면에서 XDA의 성능은 최신 기술과 비교해 어떻게 되는가?
• RQ5 명시적 지도 없이도 학습된 바이트 임베딩이 함수 프로로우/에필로그와 같은 의미 있는 구조적 패턴을 포착할 수 있는가?

주요 결과

• XDA는 함수 경계 복구에 대해 99.0%의 F1 스코어를 기록하여 이전 최상위 기술보다 정확도에서 17.2% 높다.
• XDA는 지시어 복구에 대해 99.7%의 F1 스코어를 기록하여 복잡한 바이너리에서 뛰어난 정밀도와 재현율을 보였다.
• 모델은 컴파일러(GCC, ICC, MSVC), 플랫폼(Linux, Windows), 최적화 수준 전반에서 높은 성능을 유지하여 강력한 강성과 일반화 능력을 보였다.
• IDA Pro보다 최대 38배 빠르며, 가장 빠른 기계학습 기반 분해기와 동일한 속도를 유지한다.
• 어텐션 시각화 결과 XDA가 바이트 수준의 문맥에서 암묵적으로 함수 프로로우 및 에필로그 패턴을 학습하고 있음을 확인했다.
• 비중복 데이터에서 F1 스코어가 ByteWeight의 경우 97%에서 65%로 떨어지지만 XDA는 높은 성능을 유지함으로써 모델의 우수한 일반화 능력을 입증했다.