Nghiên Cứu và Phát Triển Công Cụ Học Máy Tìm Kiếm Lỗ Hổng Bảo Mật Trong Ứng Dụng Web

Khóa luận tốt nghiệp nghiên cứu Luận văn tốt nghiệp khoa học máy tính nghiên cứu và phát triển công cụ sử dụng học máy tìm kiếm lỗ, vận dụng lý thuyết vào thực tế, đề xuất giải

• Tác giả: Đặng Minh Ngọc
• Người hướng dẫn: TS. Nguyễn An Khương
• Trường học: Đại học Bách Khoa Thành phố Hồ Chí Minh
• Chuyên ngành: Khoa học Máy tính
• Đề tài: Nghiên Cứu Và Phát Triển Công Cụ Sử Dụng Học Máy Tìm Kiếm Lỗ Hổng Bảo Mật Trong Ứng Dụng Web
• Loại tài liệu: luận văn tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Thành phố Hồ Chí Minh

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• TÓM TẮT LUẬN VĂN
• 1. CHƯƠNG 1: GIỚI THIỆU ĐỀ TÀI
• 1.1. Đặt vấn đề
• 1.2. Mục tiêu và phạm vi đề tài
• 1.2.1. Mục tiêu
• 1.2.2. Phạm vi đề tài
• 1.2.3. Ý nghĩa thực tiễn
• 1.2.4. Bố cục của luận văn
• 2. CHƯƠNG 2: KIẾN THỨC VÀ CÔNG NGHỆ NỀN TẢNG
• 2.1. Code Property Graph
• 2.1.1. Các thành phần của Code Property Graph
• 2.1.2. Các bước xây dựng Code Property Graph
• 2.2. Khai phá dữ liệu đồ thị
• 2.2.1. Khai thác mẫu đồ thị
• 2.2.2. Giải thuật gSpan
• 2.2.3. Giải thuật MMRFS
• 2.3. Support Vector Machine
• 2.4. Lỗ hổng bảo mật trên ứng dụng web
• 2.4.1. Sự phức tạp của ngôn ngữ PHP
• 2.4.2. Lỗ hổng kiểu Taint-style
• 3. CHƯƠNG 3: NHỮNG NGHIÊN CỨU LIÊN QUAN
• 3.1. Công cụ tìm kiếm lỗ hổng
• 3.1.1. Công cụ sử dụng kỹ thuật cơ bản
• 3.1.2. Công cụ áp dụng kỹ thuật mới
• 3.2. Biểu diễn mã nguồn
• 3.3. Ứng dụng các kĩ thuật hướng dữ liệu
• 3.3.1. Phương pháp học sâu
• 3.3.2. Phương pháp học máy
• 4. CHƯƠNG 4: PHƯƠNG PHÁP ĐỀ XUẤT
• 4.1. Phát biểu bài toán
• 4.2. Mô tả Tập dữ liệu
• 4.3. Xử lí Tập dữ liệu
• 4.4. Biểu diễn thông tin mã nguồn
• 4.4.1. Mức độ chi tiết trong phân tích mã nguồn
• 4.4.2. Tạo đồ thị CPG từ mã nguồn
• 4.5. Trích xuất đặc trưng
• 4.5.1. Khai thác mẫu đồ thị phổ biến
• 4.5.2. Khai thác tập các mẫu đồ thị phổ biến
• 4.6. Huấn luyện mô hình học máy
• 4.6.1. Mô tả bài toán
• 4.6.2. Mô tả dữ liệu đầu vào
• 4.6.3. Các mô hình dự đoán
• 5. CHƯƠNG 5: HIỆN THỰC CÔNG CỤ
• 5.1. Các công cụ hỗ trợ
• 5.2. Thiết kế cơ sở dữ liệu
• 5.3. Hiện thực các thành phần
• 5.3.1. Tạo đồ thị CPG
• 5.3.2. Xây dựng mô hình phân loại
• 5.4. Thiết kế giao diện
• 5.4.1. Tạo đồ thị CPG
• 5.4.2. Hiệu suất của các bộ phân loại
• 5.4.3. Các chỉ số đánh giá
• 5.4.4. Kiểm thử giao diện hệ thống
• 5.5. Kết quả đạt được
• 5.5.1. Tập dữ liệu
• 5.5.2. Phương pháp thực hiện
• 5.5.3. Phương hướng phát triển
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• DANH SÁCH THUẬT NGỮ VIẾT TẮT

Tóm tắt

I. Giới thiệu đề tài

Trong bối cảnh công nghệ thông tin ngày càng phát triển, ứng dụng web trở thành một phần không thể thiếu trong đời sống hàng ngày. Tuy nhiên, sự phát triển này cũng kéo theo các vấn đề về bảo mật ứng dụng. Những lỗ hổng bảo mật có thể gây ra thiệt hại nghiêm trọng cho cả cá nhân và tổ chức. Đề tài này nhằm phát triển một công cụ học máy để tìm kiếm lỗ hổng bảo mật trong mã nguồn ứng dụng web, giúp nâng cao hiệu quả kiểm tra và phát hiện lỗ hổng. Như đã được nêu trong tài liệu, "Nhu cầu về các công cụ, kĩ thuật hỗ trợ việc kiểm tra và phát hiện lỗ hổng ngày càng tăng". Điều này cho thấy rằng việc ứng dụng công nghệ mới vào lĩnh vực này là rất cần thiết.

II. Mục tiêu và phạm vi đề tài

Mục tiêu chính của đề tài là nghiên cứu và phát triển một công cụ sử dụng học máy để tìm kiếm lỗ hổng bảo mật trong ứng dụng web. Cụ thể, đề tài sẽ tập trung vào việc: 1) Biểu diễn thông tin mã nguồn thành các vector đặc trưng, 2) Chuẩn hóa quá trình tìm kiếm lỗi bảo mật như một bài toán phân loại của học máy. Phạm vi nghiên cứu sẽ giới hạn ở các ứng dụng phát triển bằng ngôn ngữ PHP, một trong những ngôn ngữ phổ biến nhất trong phát triển web. Điều này giúp đảm bảo tính khả thi và ứng dụng thực tiễn của đề tài.

III. Kiến thức và công nghệ nền tảng

Để thực hiện đề tài, cần nắm vững kiến thức về Code Property Graph và các phương pháp học máy như Support Vector Machine và Random Forest. Các công nghệ này sẽ được áp dụng để phân tích mã nguồn và phát hiện các lỗ hổng bảo mật. Tài liệu đã chỉ ra rằng, "Việc ứng dụng học máy để xây dựng các mô hình nhận diện và phát hiện lỗ hổng trong mã nguồn có thể giúp cải thiện đáng kể thời gian và hỗ trợ hiệu quả cho quá trình tìm kiếm". Điều này nhấn mạnh vai trò quan trọng của công nghệ trong việc nâng cao an ninh mạng.

IV. Phương pháp đề xuất

Phương pháp được đề xuất bao gồm việc thu thập dữ liệu từ mã nguồn, xử lý và biểu diễn thông tin thành cấu trúc đồ thị. Sau đó, các đặc trưng sẽ được trích xuất và mô hình học máy sẽ được huấn luyện để dự đoán tính an toàn của mã nguồn. Việc này sẽ giúp phát hiện các lỗ hổng bảo mật một cách tự động và hiệu quả hơn. Mô hình sẽ được kiểm tra và đánh giá dựa trên bộ dữ liệu công khai chứa thông tin về các lỗ hổng bảo mật đã được gắn nhãn.

V. Hiện thực công cụ

Công cụ sẽ được hiện thực hóa với giao diện người dùng thân thiện và dễ sử dụng. Các công cụ hỗ trợ sẽ được tích hợp để giúp người dùng dễ dàng kiểm tra và phân tích mã nguồn. Kết quả đạt được sẽ được trình bày rõ ràng, giúp người dùng hiểu rõ về các lỗ hổng bảo mật có trong mã nguồn của ứng dụng. Như đã nêu, "Công cụ được hiện thực với giao diện người dùng thân thiện, dễ sử dụng", điều này sẽ góp phần nâng cao trải nghiệm của người dùng trong việc bảo mật ứng dụng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ, ứng dụng web ngày càng phổ biến và trở thành phương tiện trung gian cung cấp dịch vụ cho hàng triệu người dùng. Theo báo cáo của ngành, hơn 79% các trang web hiện nay sử dụng ngôn ngữ PHP làm nền tảng phát triển, đồng thời các lỗ hổng bảo mật trên ứng dụng web cũng gia tăng với tần suất và mức độ phức tạp ngày càng cao. Việc phát hiện và xử lý kịp thời các lỗ hổng bảo mật là yêu cầu cấp thiết nhằm bảo vệ dữ liệu và đảm bảo an toàn cho người dùng cũng như doanh nghiệp. Tuy nhiên, quá trình kiểm tra bảo mật truyền thống thường tốn nhiều thời gian, chi phí và đòi hỏi chuyên môn cao.

Mục tiêu của luận văn là nghiên cứu và phát triển một công cụ sử dụng kỹ thuật học máy để tự động phát hiện lỗ hổng bảo mật trong mã nguồn ứng dụng web, tập trung vào ngôn ngữ PHP và các lỗ hổng dạng taint-style như SQL Injection và Cross-Site Scripting (XSS). Phạm vi nghiên cứu bao gồm việc biểu diễn mã nguồn dưới dạng đồ thị Code Property Graph (CPG), trích xuất đặc trưng từ các mẫu đồ thị phổ biến và huấn luyện mô hình học máy để phân loại mã nguồn an toàn hoặc không an toàn. Nghiên cứu được thực hiện trên bộ dữ liệu SARD với hơn 15.000 file mã nguồn PHP có gán nhãn lỗ hổng bảo mật, trong đó số lượng file an toàn và không an toàn được cân bằng bằng phương pháp lấy mẫu ngẫu nhiên.

Ý nghĩa của nghiên cứu thể hiện qua việc nâng cao hiệu quả phát hiện lỗ hổng bảo mật, giảm thiểu sai sót và tăng tính tự động hóa trong kiểm tra bảo mật ứng dụng web. Kết quả nghiên cứu góp phần hỗ trợ các tổ chức, doanh nghiệp trong việc bảo vệ hệ thống thông tin, đồng thời mở rộng ứng dụng học máy trong lĩnh vực an toàn thông tin.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên các lý thuyết và mô hình sau:

• Code Property Graph (CPG): Là mô hình biểu diễn mã nguồn dưới dạng đồ thị kết hợp từ cây cú pháp trừu tượng (AST), đồ thị luồng điều khiển (CFG) và đồ thị phụ thuộc chương trình (PDG). CPG cung cấp thông tin toàn diện về cú pháp, luồng điều khiển và luồng dữ liệu trong mã nguồn, giúp khai thác các mẫu đồ thị đặc trưng cho lỗ hổng bảo mật.

• Khai phá dữ liệu đồ thị (Graph Mining): Sử dụng thuật toán gSpan để khai thác các mẫu đồ thị phổ biến từ tập dữ liệu CPG. Thuật toán này dựa trên biểu diễn DFS Code để xử lý vấn đề đẳng cấu đồ thị, giúp tìm ra các mẫu con phổ biến có giá trị phân loại cao.

• Giải thuật MMRFS (Maximal Marginal Relevance Feature Selection): Thuật toán chọn lọc đặc trưng dựa trên độ liên quan và độ dư thừa giữa các mẫu đồ thị, nhằm giảm không gian đặc trưng, tránh overfitting và tăng hiệu quả huấn luyện mô hình.

• Mô hình học máy: Áp dụng các thuật toán phân loại như Decision Tree, Random Forest và Support Vector Machine (SVM) để xây dựng bộ phân loại dự đoán sự tồn tại lỗ hổng bảo mật trong mã nguồn. Decision Tree và Random Forest tận dụng cấu trúc cây để phân loại dựa trên đặc trưng nhị phân, trong khi SVM tìm siêu phẳng tối ưu phân tách các lớp dữ liệu.

Các khái niệm chính bao gồm: lỗ hổng bảo mật dạng taint-style, biểu diễn mã nguồn bằng CPG, khai thác mẫu đồ thị phổ biến, chọn lọc đặc trưng MMRFS, và mô hình phân loại học máy.

Phương pháp nghiên cứu

• Nguồn dữ liệu: Sử dụng bộ dữ liệu SARD, gồm khoảng 15.632 file mã nguồn PHP được gán nhãn an toàn hoặc không an toàn với các lỗ hổng SQL Injection và XSS. Bộ dữ liệu được xử lý để cân bằng số lượng file an toàn và không an toàn bằng phương pháp undersampling.

• Phương pháp phân tích: Mã nguồn được biểu diễn dưới dạng Code Property Graph bằng công cụ PHPJoern, lưu trữ thông tin về cấu trúc, luồng điều khiển và phụ thuộc dữ liệu. Các nhãn hàm và biến được chuẩn hóa để tránh overfitting.

• Khai thác đặc trưng: Thuật toán gSpan được sử dụng để khai thác các mẫu đồ thị phổ biến trong từng lớp dữ liệu (an toàn, không an toàn, không chứa lỗ hổng). Sau đó, giải thuật MMRFS chọn lọc các mẫu có độ liên quan cao và độ dư thừa thấp làm đặc trưng cho mô hình.

• Huấn luyện mô hình: Tập dữ liệu được chia thành 70% huấn luyện, 10% điều chỉnh và 20% kiểm tra. Các mô hình Decision Tree, Random Forest và SVM được huấn luyện trên tập đặc trưng đã chọn, đánh giá bằng các chỉ số Precision, Recall, F1-score và Accuracy.

• Timeline nghiên cứu: Nghiên cứu bắt đầu từ tháng 2/2021, hoàn thành thu thập và xử lý dữ liệu trong tháng 4/2021, phát triển công cụ và huấn luyện mô hình từ tháng 5 đến tháng 6/2021, hoàn thiện luận văn và bảo vệ vào tháng 7/2021.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả biểu diễn mã nguồn bằng CPG: Việc sử dụng Code Property Graph giúp biểu diễn đầy đủ thông tin cú pháp, luồng điều khiển và phụ thuộc dữ liệu trong mã nguồn PHP. Thời gian tạo đồ thị CPG tỷ lệ thuận với kích thước mã nguồn, trung bình khoảng vài giây cho mỗi file có kích thước trung bình 100 dòng.

2. Khai thác mẫu đồ thị phổ biến: Thuật toán gSpan khai thác được hàng trăm mẫu đồ thị phổ biến trong mỗi lớp dữ liệu. Sau khi áp dụng giải thuật MMRFS, số lượng đặc trưng giảm xuống còn khoảng 50-70 mẫu, giúp giảm không gian vector đặc trưng và tăng hiệu quả huấn luyện.

3. Hiệu quả mô hình học máy: Mô hình Random Forest đạt độ chính xác trung bình trên tập kiểm tra khoảng 89%, vượt trội hơn so với Decision Tree (khoảng 82%) và SVM (khoảng 85%). Chỉ số F1-score của Random Forest đạt khoảng 0.87, cho thấy khả năng cân bằng giữa Precision và Recall tốt hơn.

4. Khả năng phân biệt lỗ hổng SQLi và XSS: Mô hình phân loại có thể phân biệt hiệu quả các loại lỗ hổng bảo mật với tỷ lệ chính xác trên 85%, giúp giảm thiểu nhầm lẫn giữa các loại lỗ hổng và tăng tính ứng dụng thực tế.

Thảo luận kết quả

Kết quả cho thấy việc biểu diễn mã nguồn bằng CPG kết hợp với khai thác mẫu đồ thị phổ biến là phương pháp hiệu quả để trích xuất đặc trưng có giá trị cho bài toán phát hiện lỗ hổng bảo mật. So với các phương pháp biểu diễn tuần tự hoặc chỉ sử dụng cây AST, CPG cung cấp thông tin toàn diện hơn về luồng dữ liệu và điều khiển, giúp mô hình học máy nhận diện chính xác hơn.

Việc áp dụng giải thuật MMRFS giúp giảm thiểu hiện tượng overfitting do không gian đặc trưng quá lớn, đồng thời giữ lại các đặc trưng có tính phân loại cao. So sánh với các nghiên cứu trước đây sử dụng học sâu hoặc các đặc trưng định nghĩa sẵn, phương pháp này có ưu điểm về tính linh hoạt và khả năng mở rộng.

Mô hình Random Forest thể hiện ưu thế nhờ khả năng kết hợp nhiều cây quyết định, giảm thiểu sai số và tăng độ ổn định. Tuy nhiên, mô hình này tiêu tốn nhiều thời gian dự đoán hơn so với Decision Tree đơn lẻ. SVM phù hợp với dữ liệu có phân tách rõ ràng nhưng kém hiệu quả hơn khi dữ liệu có nhiễu hoặc chồng chéo.

Dữ liệu nghiên cứu còn hạn chế về đa dạng loại lỗ hổng và kích thước bộ dữ liệu, do đó kết quả có thể được cải thiện khi mở rộng phạm vi và số lượng dữ liệu. Các biểu đồ so sánh độ chính xác, F1-score giữa các mô hình và phân bố mẫu đồ thị phổ biến có thể minh họa rõ nét hơn hiệu quả của phương pháp.

Đề xuất và khuyến nghị

1. Mở rộng bộ dữ liệu huấn luyện: Thu thập thêm các mẫu mã nguồn với đa dạng loại lỗ hổng bảo mật và kích thước lớn hơn để tăng tính đại diện và cải thiện độ chính xác của mô hình. Thời gian thực hiện: 6-12 tháng. Chủ thể: Các nhóm nghiên cứu và doanh nghiệp phát triển phần mềm.

2. Áp dụng kỹ thuật học sâu kết hợp CPG: Nghiên cứu tích hợp các mô hình học sâu như LSTM, GNN (Graph Neural Network) để khai thác sâu hơn các đặc trưng từ đồ thị CPG, nâng cao khả năng nhận diện các lỗ hổng phức tạp. Thời gian thực hiện: 12 tháng. Chủ thể: Các nhà nghiên cứu trong lĩnh vực AI và an toàn thông tin.

3. Phát triển giao diện người dùng thân thiện: Cải tiến công cụ hiện tại với giao diện trực quan, hỗ trợ người dùng dễ dàng kiểm tra, đánh giá và cập nhật các loại lỗ hổng mới. Thời gian thực hiện: 3-6 tháng. Chủ thể: Đội ngũ phát triển phần mềm.

4. Tích hợp công cụ vào quy trình phát triển phần mềm: Đề xuất tích hợp công cụ phát hiện lỗ hổng tự động vào quy trình CI/CD (Continuous Integration/Continuous Deployment) để kiểm tra bảo mật liên tục, giảm thiểu rủi ro khi triển khai ứng dụng web. Thời gian thực hiện: 6 tháng. Chủ thể: Các doanh nghiệp phát triển phần mềm và quản lý dự án.

Đối tượng nên tham khảo luận văn

1. Nhà nghiên cứu và sinh viên ngành Khoa học Máy tính, An toàn Thông tin: Luận văn cung cấp kiến thức chuyên sâu về biểu diễn mã nguồn, khai thác dữ liệu đồ thị và ứng dụng học máy trong phát hiện lỗ hổng bảo mật, hỗ trợ nghiên cứu và phát triển công cụ mới.

2. Chuyên gia phát triển phần mềm và kiểm thử bảo mật: Công cụ và phương pháp đề xuất giúp tự động hóa quá trình rà soát mã nguồn, giảm thiểu sai sót và tăng hiệu quả kiểm thử bảo mật trong các dự án phát triển ứng dụng web.

3. Doanh nghiệp cung cấp dịch vụ bảo mật: Tham khảo để phát triển hoặc tích hợp các giải pháp phát hiện lỗ hổng bảo mật tự động, nâng cao chất lượng dịch vụ và bảo vệ khách hàng.

4. Nhà quản lý dự án và kỹ sư DevOps: Hiểu rõ về các kỹ thuật phát hiện lỗ hổng bảo mật để tích hợp vào quy trình phát triển phần mềm, đảm bảo an toàn thông tin và giảm thiểu rủi ro vận hành.

Câu hỏi thường gặp

1. Học máy có thể phát hiện được tất cả các loại lỗ hổng bảo mật không?
   Học máy hiệu quả với các loại lỗ hổng đã được huấn luyện trên dữ liệu có gán nhãn, đặc biệt là các lỗ hổng phổ biến như SQL Injection và XSS. Tuy nhiên, với các lỗ hổng mới hoặc phức tạp, mô hình cần được cập nhật dữ liệu và huấn luyện lại để duy trì hiệu quả.

2. Tại sao lại sử dụng Code Property Graph thay vì biểu diễn tuần tự?
   CPG kết hợp thông tin cú pháp, luồng điều khiển và phụ thuộc dữ liệu, giúp mô hình học máy nắm bắt được cấu trúc và ngữ nghĩa phức tạp của mã nguồn, trong khi biểu diễn tuần tự thường mất thông tin về luồng dữ liệu và điều khiển.

3. Giải thuật MMRFS có vai trò gì trong quá trình trích xuất đặc trưng?
   MMRFS giúp chọn lọc các mẫu đồ thị phổ biến có độ liên quan cao và giảm thiểu sự dư thừa, từ đó giảm không gian đặc trưng, tránh overfitting và tăng hiệu quả huấn luyện mô hình.

4. Làm thế nào để xử lý bộ dữ liệu không cân bằng?
   Phương pháp undersampling được sử dụng để cân bằng số lượng file an toàn và không an toàn, giúp mô hình không bị thiên lệch và cải thiện độ chính xác phân loại.

5. Công cụ phát hiện lỗ hổng này có thể áp dụng cho ngôn ngữ khác ngoài PHP không?
   Hiện tại công cụ tập trung vào PHP do đặc thù ngôn ngữ và bộ dữ liệu có sẵn. Tuy nhiên, phương pháp biểu diễn CPG và học máy có thể được mở rộng cho các ngôn ngữ khác nếu có bộ dữ liệu phù hợp và công cụ sinh đồ thị tương ứng.

Kết luận

• Luận văn đã phát triển thành công công cụ sử dụng học máy kết hợp biểu diễn Code Property Graph để phát hiện lỗ hổng bảo mật trong mã nguồn PHP, tập trung vào các lỗ hổng SQL Injection và XSS.
• Phương pháp khai thác mẫu đồ thị phổ biến và chọn lọc đặc trưng MMRFS giúp giảm không gian đặc trưng và tăng hiệu quả mô hình phân loại.
• Mô hình Random Forest đạt hiệu quả cao nhất với độ chính xác khoảng 89% và F1-score 0.87 trên tập kiểm tra.
• Công cụ có giao diện thân thiện, dễ sử dụng, phù hợp với các doanh nghiệp và nhà phát triển phần mềm trong việc kiểm tra bảo mật tự động.
• Hướng phát triển tiếp theo bao gồm mở rộng bộ dữ liệu, áp dụng học sâu, cải tiến giao diện và tích hợp công cụ vào quy trình phát triển phần mềm.

Để tiếp tục nâng cao hiệu quả và ứng dụng thực tế, các nhà nghiên cứu và doanh nghiệp được khuyến khích hợp tác phát triển, mở rộng phạm vi nghiên cứu và áp dụng công cụ trong môi trường sản xuất. Hãy bắt đầu triển khai các giải pháp bảo mật tự động ngay hôm nay để bảo vệ hệ thống và dữ liệu của bạn một cách hiệu quả nhất!

Trích đoạn nội dung tài liệu

Chương 1 - Giới thiệu đề tài Trình bày tổng quan về vấn đề cần giải quyết, mục tiêu, phạm vi của đề tài, đồng thời nêu ý nghĩa thực tiễn của luận văn. Chương 2 - Kiến thức và công nghệ nền tảng Giới thiệu một số kiến thức nền tảng quan trọng phục vụ cho đề tài. Chương 3 - Những nghiên cứu liên quan Phân tích một số hướng tiếp cận các vấn đề chính cần giải quyết đã được nghiên cứu trong các tài liệu khác. Chương 4 - Phương pháp đề xuất Trình bày chi phương pháp đề xuất để hiện thực công cụ.

Chương 5 - Hiện thực công cụ Trình bày chi tiết các bước hiện thực công cụ theo phương pháp đã đề xuất. Chương 6 - Đánh giá Thực hiện phân tích và đánh giá công cụ đã xây dựng. Chương 7 - Tổng kết Đánh giá các điểm đạt được và các khuyết điểm còn tồn tại của luận văn. Trình bày hướng phát triển tiếp theo của đề tài.

4 2 Kiến thức và công nghệ nền tảng 2.1 Code Property Graph Code property graph (CPG) là một hình thức biểu diễn thông tin của mã nguồn dưới dạng đồ thị, được giới thiệu lần đầu bởi nhóm nghiên cứu của tác giả Fabian Yamaguchi [32]. Trong đó, nội dung mà CPG thể hiện là sự kết hợp từ các thuộc tính của cây cú pháp trừu tượng (AST), đồ thị luồng điều khiển (CFG) và đồ thị phụ thuộc chương trình (PDG). Ý tưởng chính trong việc kết hợp 3 loại đồ thị biểu diễn mã nguồn đã nêu vào trong một cấu trúc dữ liệu chung là việc thông tin về mã nguồn được khai thác đầy đủ trên nhiều khía cạnh (thuộc tính cú pháp, luồng điều khiển, luồng dữ liệu, .) sẽ cho phép tìm kiếm được các mẫu dữ liệu có giá trị phục vụ cho quá trình tìm kiếm lỗ hổng bảo mật tồn tại trong mã nguồn. 1 <? php 2 function func () { 3 if ( isset ( $_POST [ ’ code ’ ]) ) { 4 $code = $_POST [ ’ code ’ ]; 5 eval ( $code ) ; 6 } 7 } 8 ?> Hình 2.1: Mã nguồn PHP chứa lỗi Command Injection Trong phần này, chúng tôi sẽ trình bày tóm tắt các khái niệm liên quan tới việc xây dựng CPG từ mã nguồn PHP để người đọc nắm được vai trò của các thành phần cấu tạo nên cấu trúc đồ thị này.

Đoạn mã PHP ở Hình 2.1 sẽ được sử dụng làm ví dụ minh họa cho các khái niệm được trình bày tiếp theo đây. Đoạn mã minh họa hiện thực một hàm tên func với chức năng kiểm tra sự xuất hiện của tham số code được gửi tới bằng phương thức POST trong phần thân (body) của request (tham số này được chứa trong biến $_POST[code]) và sử dụng hàm eval() để thực thi câu lệnh hoặc biểu thức chứa trong biến $_POST[code] nếu có. Lỗi Command Injection của đoạn mã này tồn tại do hàm eval() trực tiếp thực thi câu lệnh trong biến có giá trị truyền từ ngoài vào mà không thực hiện kiểm tra sàng lọc, dẫn đến kẻ tấn công có thể truyền vào câu lệnh gây hại đến ứng dụng hoặc làm lộ thông tin quan trọng.1 Các thành phần của Code Property Graph Abstract Syntax Tree - AST. Cây cú pháp trừu tượng (AST) là biểu diễn dạng cây cho cấu trúc cú pháp trừu tượng của mã nguồn được viết bằng ngôn ngữ lập trình.

Tính trừu tượng của cây AST được thể hiện ở chỗ nó không có sự ràng buộc biểu diễn theo một ngôn ngữ lập trình cụ thể nào mà tập trung vào việc thể hiện cách các cấu trúc lập trình được lồng vào nhau và tạo thành chương trình hoàn chỉnh. Trong AST, nút trong đại diện cho các toán tử (ví dụ: toán tử cộng hoặc toán tử trừ), nút lá tương ứng với toán hạng (ví dụ: hằng số hoặc định danh). Cây AST sinh ra từ đoạn mã PHP minh họa được thể hiện ở Hình 2. Mặc dù AST cũng được sử dụng trong quá trình phân tích các đoạn mã chương trình [5] [31] nhưng do không thể hiện được những thông tin quan trọng như luồng điều khiển hay sự phụ thuộc các biến dữ liệu nên không cung cấp được đầy đủ thông tin cho việc tìm kiếm lỗ hổng bảo mật có thể tồn tại.

FUNC IF PRED STMT CALL STMT CALL isset ARG = eval ARG $_POST[’c’] $code $_POST[’c’] $code Hình 2.2: Cây cú pháp trừu tượng AST cho đoạn mã ở Hình 2.1 6 Chương 2 Control Flow Graph - CFG. Đồ thị luồng điều khiển (CFG) sử dụng các ký hiệu của đồ thị, biểu diễn tất cả các luồng điều khiển có thể được duyệt qua trong một chương trình. Một đồ thị luồng điều khiển có các đặc điểm chính sau: • Là đồ thị có hướng. • Mô tả các đường dẫn luồng điều khiển và các nút trong CFG mô tả các khối lệnh điều khiển cơ bản.

• Hiển thị tất cả các đường dẫn có thể được duyệt qua trong quá trình thực thi chương trình. Đồ thị luồng điều khiển chủ yếu được sử dụng trong phân tích tĩnh cũng như được ứng dụng trong các trình biên dịch, vì nó thể hiện được chính xác dòng thực thi bên trong của một đơn vị chương trình. Tuy nhiên, đối với phân tích lỗ hổng, CFG không cung cấp được thông tin về luồng dữ liệu, điều này có nghĩa là không thể sử dụng đồ thị này để xác định dữ liệu không an toàn truyền vào bởi kẻ tấn công được xử lý qua những câu lệnh nào.3 minh họa đồ thị luồng điều khiển cho đoạn mã ví dụ ban đầu. Start if(isset($_POST[’code’])) yes $code = $_POST[’code’] no eval($code) Stop Hình 2.3: Đồ thị luồng điều khiển CFG cho đoạn mã ở Hình 2.1 Program Dependence Graphs - PDG.

Đồ thị phụ thuộc chương trình (PDG) được giới thiệu trong nghiên cứu của nhóm tác giả Jeanne Ferrante [11], sử dụng cho quá trình phân đoạn chương trình (program slicing) [30]. Thành phần tạo nên PDG bao gồm: • Các node thể hiện câu lệnh hoặc biểu thức có trong hàm. • Cạnh biểu diễn sự phụ thuộc dữ liệu giữa các biến, từ khi được khai báo, khởi tạo đến khi được sử dụng trong chương trình và lan truyền dữ liệu nó chứa sang một biến khác. Để xác định được các cạnh này, cần giải quyết bài toán reaching definitions 1.

1 Reaching definitions: một bài toán thường gặp trong phân tích luồng dữ liệu.org/wiki/Reaching_definition 7 Chương 2 • Cạnh biểu diễn sự phụ thuộc điều khiển luồng thực thi của các câu lệnh trong chương trình vào các biểu thức vị từ. Các cạnh này có thể được xác định dựa vào biểu đồ luồng thực thi. Cần lưu ý, các cạnh phụ thuộc điều khiển trong PDG không giống với cạnh biểu diễn luồng thực thi trong CFG. Trên thực tế, trong PDG, thứ tự thực thi của các câu lệnh không thể được xác định, nó chỉ tập trung vào thể hiện sự phụ thuộc của việc câu lệnh có được thực thi hay không vào giá trị của biểu thức vị từ.

Đồ thị PDF ở Hình 2.4 được tạo từ đoạn mã PHP minh họa. Trong đó, cạnh gán nhãn Cf biểu diễn sự phụ thuộc điều khiển giữa các câu lệnh và cạnh gán nhãn D$code biểu diễn sự phụ thuộc dữ liệu trong biến $code.4: Đồ thị phụ thuộc chương trình PDG cho đoạn mã ở Hình 2.2 Các bước xây dựng Code Property Graph Để sử dụng hiệu quả thông tin có được từ AST, CFG và PDG, ta kết hợp cả 3 đồ thị này vào một cấu trúc chung. Để thực hiện điều này, trước hết ta cần biến đổi AST, CFG, PDG thành các php-static-analysis. Property graph [property-graph] là một loại mô hình đồ thị bao gồm các nút, quan hệ (biểu diễn bởi các cạnh có hướng), thuộc tính và nhãn.

Cả nút dữ liệu và quan hệ trong đồ thị đều được đặt tên và chứa các thuộc tính được biểu diễn dưới dạng cặp khóa - giá trị. Đây là kiểu biểu diễn dữ liệu cơ bản trong các cơ sở dữ liệu đồ thị như Neo4J, OrientDB. Một property graph được định nghĩa [32] như sau: Định nghĩa 1 Một property graph được kí hiệu G = (V, E, λ, µ) là một đa đồ thị có hướng, có thuộc tính, có cạnh được gán nhãn. Trong đó, V là tập các nút, E ⊆ (V × V ) là tập các cạnh có hướng, và λ : E → Σ là một hàm gán nhãn thực hiện gán các nhãn từ tập Σ cho mỗi cạnh trong đồ thị.

Các thuộc tính được gán cho các cạnh và các nút bằng hàm µ : (V ∪ E) × K → S với K là tập các khóa của thuộc tính và S là tập các giá trị của thuộc tính. Biến đổi AST. Cây cú pháp trừu tượng AST biến đổi thành một property graph, được kí hiệu GA = (VA , EA , λA , µA ). Trong đó: • VA là tập các nút của đồ thị, tương ứng với các nút có trong cây ban đầu.

• EA là tập hợp các cạnh tương ứng được gắn nhãn cạnh của AST thông qua hàm gán nhãn λA. 8 Chương 2 • µA gán các cặp thuộc tính KA = {code, order} cho các nút và cạnh sao cho thuộc tính code tương ứng với toán tử hoặc toán hạng mà nút đó thể hiện, thuộc tính order tương ứng với thứ tự của nút tương ứng trong cây AST. Biến đổi CFG. Tương tự như AST, đồ thị luồng điều khiển CFG cũng được biểu diễn ˙ Trong đó: dưới dạng property graph GC = (VC , EC , λC , ).

• Các nút trong VC tương ứng với các câu lệnh và biểu thức vị từ trong AST, cũng chính là các nút trong VA có giá trị thuộc tính code là STMT và PRED. • EC là tập hợp các cạnh tương ứng được gắn nhãn. Hàm gán nhãn λC được định nghĩa để gán các nhãn trong tập ΣC = {true, f alse, } vào các cạnh trong GC , ứng với các luồng thực thi khi điều kiện là true, false, không có điều kiện trong CFG. Biến đổi PDG.

Đồ thị phụ thuộc chương trình PDG biểu diễn sự phụ thuộc vào dữ liệu và luồng điều khiển giữa các câu lệnh và biểu thức vị từ. Do các nút trong đồ thị PDG giống với các nút trong CFG, PDG sẽ được chuyển thành property graph GP = (VC , EP , λP , µP ) với: • VC là tập các đỉnh trong property graph của đồ thị PDG. • EP là tập hợp các cạnh trong đồ thị. Nhãn của cạnh trong EP được gán bởi hàm λP : EP → ΣP với ΣP = {C, D} tương ứng lần lượt biểu diễn cho trạng thái phụ thuộc dữ liệu và phụ thuộc luồng điều khiển.