评价加壳软件识别工具稳定性的新方法
网络安全与数据治理
李可1，宋栋1，俞楚翘2
1. 华北计算机系统工程研究所；2. 中国人民解放军93216部队
摘要： 针对现有加壳软件识别工具存在的体系化评价标准缺失，特别是稳定性量化分析不足的问题，提出了一种根据现有的准确性指标来评价识别工具稳定性的LK方法：通过构建检测准确性与样本变化度的回归模型，创新性提出抗干扰度指标用于量化识别工具的稳定性特征。研究采用对比实验范式，对主流工具进行横向测试：首先通过干扰样本集获取检测性能变化数据，继而基于回归模型计算抗干扰度参数，最终构建涵盖准确性、稳定性等多方面指标的综合评价方案。实证结果表明，研究提出的抗干扰度指标能有效揭示并量化各识别工具的识别准确性、稳定性与样本变化程度间的关联特征。该研究不仅为优化加壳软件检测流程提供了理论支撑，通过结合稳定性的全新分析评价与现有的准确性分析，更为新型加壳方案的识别算法及对抗性测试优化提供了可量化的效果验证框架。
中图分类号：TP309;TP311.5文献标志码：ADOI:10.19358/j.issn.2097-1788.2026.09.008
中文引用格式：李可，宋栋，俞楚翘. 评价加壳软件识别工具稳定性的新方法［J］.网络安全与数据治理，2026，45（9）：60-65.
英文引用格式：Li Ke，Song Dong，Yu Chuqiao. A new method for evaluating stability of packed software identification tools［J］.Cyber Security and Data Governance，2026，45（9）：60-65.
A new method for evaluating stability of packed software identification tools
Li Ke1，Song Dong1，Yu Chuqiao2
1. National Computer System Engineering Research Institute of China; 2. Unit 93216 of the Chinese People′s Liberation Army
Abstract： In view of the problem that the current packed software identification tools are missing comprehensive evaluation standard, especially lack of quantified analysis of stability of the identification tools, this paper proposes a new method called LK method, which evaluates the stability of the identification tools based on their accuracy. The method constructs a linear regression model on the degree of variation on the samples and accuracy, innovatively proposes a measurable index called “Disturbance Resistance Index” or DRI, to quantify the stability of the identification tools. The research takes a comparative model to test several common identification tools: firstly,it obtains the performance variation data by using interfered samples, then utilizes the data to compute the DRI based on the linear regression model, and finally constructs a multi-dimensional evaluation system covering accuracy, stability and so on.
Key words : packed software; detection algorithm; evaluation method
引言
随着互联网的持续发展，软件在网络上的传播变得日益便捷，但与此同时，也滋生了越来越严重的安全威胁。这其中的一个重要威胁就是各种恶意软件的泛滥［1-2］。为了对抗分析和检测，软件作者通常会使用加壳技术来生成更具隐蔽性的恶意软件。此外，许多商业公司为了保护软件的知识产权也会对代码进行加壳，以防止软件被非法获取使用。加壳技术的应用对良性软件和恶意软件的准确区分构成了重大干扰，由此对加壳识别技术的研究也成为了当前网络安全领域一个热门研究方向［3］。
壳大致可分为压缩壳和加密壳两种。压缩壳的主要目的是减少软件体积，使之便于传输和分发；而加密壳的主要目的是防止软件被轻易反编译或追踪。检测加壳软件的方式大致可分为三类［4］：(1)基于熵度量的检测。由于软件加壳过程中引入了额外的相关壳代码，造成软件整体信息不可避免的熵值跃迁［5］。(2)基于代码句法签名的检测。加壳后的软件中存在一些可用于识别软件的特殊指纹，只要待检测的软件中存在这样的指纹，便可准确推断出使用的加壳方案［6］。(3)基于神经网络的分析。随着机器学习的深度应用，许多研究转向了使用机器学习方法来识别软件加壳［7］。目前主流的机器学习技术途径是通过训练集来提取加壳软件的特征进行监督学习，以生成壳的检测器和分类器［8-10］。
本文详细内容请下载：
https://www.pcachina.com/resource/detail/6000007249
作者信息：
李可1，宋栋1，俞楚翘2
(1. 华北计算机系统工程研究所，北京100083；
2. 中国人民解放军93216部队，北京100085)
