EvoPatch-IoT: Evolution-Aware Cross-Architecture Vulnerability Retrieval and Patch-State Profiling for BusyBox-Based IoT Firmware

1. 研究背景与问题 (Problem)

背景：
BusyBox 是 Linux 物联网（IoT）固件中最广泛复用的用户态组件，它将数百个 Shell 和实用程序功能打包成一个紧凑的二进制文件。然而，IoT 固件的安全审计面临巨大挑战：

• ** stripped 二进制文件：** 实际分发的固件通常是去符号（stripped）的二进制文件，缺乏函数名、源文件路径和版本字符串。
• 异构架构： 同一 BusyBox 源码被编译为多种架构（如 ARM, MIPS, x86_64, AArch64 等）。
• 版本演化与补丁不一致： 厂商可能只应用部分上游补丁，或者将易受攻击的 BusyBox 核心与厂商定制代码混合，导致难以判断固件是处于“易受攻击”还是“已修复”的状态。

核心问题：
在缺乏符号信息的情况下，安全分析师需要回答三个关键问题：

1. 去符号的固件函数对应于哪个已知的上游 BusyBox 例程？
2. 目标二进制文件更接近“易受攻击”还是“已修复”的演化分支？
3. 在必须进行人工逆向工程之前，能消除多少候选函数的检查空间？

现有的二进制相似性技术大多针对通用场景优化，缺乏针对**版本演化感知（Evolution-Aware）**的漏洞检索能力，且难以在去符号组件中提供函数级别的证据。

---

2. 方法论 (Methodology)

作者提出了 EvoPatch-IoT，这是一个面向 BusyBox 固件的演化感知跨架构检索框架。其核心流程分为四个层级：

A. 去符号兼容的匿名特征提取 (Stripped-Compatible Anonymous Features)

针对去符号函数，构建多视图表示，不依赖任何符号信息：

• 几何形状描述符 (Geometric Shape Descriptor)： 基于函数在二进制文件中的位置、大小、地址排序排名及局部邻域统计量构建 5 维向量。这是连接去符号与未去符号函数的关键“锚点”。
• 匿名指令与上下文 (Anonymous Tokens & Context)： 利用 Ghidra 提取匿名指令 Token、控制流图（CFG）统计、调用上下文、字符串和常量桶，并通过 TF-IDF 和哈希映射为稠密向量。
• 图统计特征： 包括基本块数量、边数、调用/分支密度等。

B. 双向匿名对齐 (Bidirectional Anonymous Alignment)

为了建立训练监督信号，框架在相同版本和架构的“未去符号”与“去符号”二进制文件之间进行双向最近邻匹配：

• 仅基于几何形状距离进行初步匹配。
• 实施互一致性规则（Mutual Consistency）：仅当 A 的最近邻是 B，且 B 的最近邻也是 A 时，才确认为高置信度匹配。
• 成果： 构建了 155,845 个高置信度的去符号到未去符号的函数锚点。

C. 架构归一化的多视图融合 (Architecture-Normalized Multi-View Fusion)

将上述特征融合为统一的 361 维向量表示 $z(f)$：

• 对不同架构（ARM, MIPS 等）的图特征和形状特征进行归一化处理，消除架构差异。
• 融合向量 = Token 嵌入 $\parallel$ 归一化图向量 $\parallel$ 上下文嵌入 $\parallel$ 归一化形状向量。

D. 演化感知检索评分 (Evolution-Aware Retrieval Scoring)

最终的检索得分 $R(q, c)$ 由三部分组成（公式 11）：
$$R(q, c) = \lambda_s [-D_s(q, c)] + \lambda_f \cos(z(q), z(c)) + \lambda_p \cos(z(c), p_{u(q)})$$

1. 几何得分 ($\lambda_s=0.70$)： 基于形状距离，作为检索的骨干，确保局部几何结构的可靠性。
2. 多视图融合得分 ($\lambda_f=0.10$)： 基于融合向量的余弦相似度，解决语义歧义。
3. 历史原型得分 ($\lambda_p=0.20$)： 引入历史函数原型（Historical Prototypes）。对于每个函数身份，聚合历史版本中的训练函数向量作为原型。这使框架能够感知版本漂移，稳定跨版本的检索。

E. 补丁状态画像 (Patch-State Profiling)

构建了一个轻量级的二进制级代理分类器，基于整个二进制文件的统计特征（如大小、函数数量、调试段信息等）来预测固件是处于“易受攻击”还是“已修复”状态。

---

3. 关键贡献 (Key Contributions)

1. 大规模基准数据集构建：

   • 涵盖了 57 个 BusyBox 历史版本（1.11.0 - 1.37.0）。
   • 包含 270 个 未去符号二进制文件、285 个 去符号二进制文件，跨越 5 种 架构（AArch64, ARM, MIPS, MIPSEL, x86_64）。
   • 包含 130 个 源码发布版本。
   • 提供了 155,845 个高置信度的去符号/未去符号匹配对，是目前唯一同时暴露跨版本演化和去符号/未去符号对应关系的大规模 BusyBox 数据集。

2. EvoPatch-IoT 框架设计：

   • 提出了一种无需符号、无需源码路径即可进行跨架构、跨版本漏洞检索的框架。
   • 创新性地结合了几何先验、多视图语义和历史演化原型，解决了去符号环境下的版本漂移问题。

3. 可复现的算法与评估：

   • 提供了明确的匿名对齐、多视图融合和演化检索的数学公式与算法。
   • 在统一的协议下评估了 13 种基线方法（包括 CLAP, Binary2vec, VEXIR2Vec 等），证明了 EvoPatch-IoT 的优越性。

4. 实证结果：

   • 在 CVE-2021-42386 (AWK 子系统漏洞) 案例研究中，成功定位了补丁相关的函数变化，并验证了补丁状态画像的有效性。

---

4. 实验结果 (Results)

在 57 个版本、1,020 个定向架构对和 128,084 个查询函数的评估中：

• 检索性能：

  • Hit@1: 34.56% (比最强基线 Array 2025 提升 16.04%)。
  • Hit@10: 56.24% (比最强基线提升 26.85%)。
  • MRR@10: 40.57%。
  • 人工检查空间缩减： 将需要人工检查的候选函数数量减少了 98.98%（从平均 609 个候选缩减至 6.20 个）。
  • 鲁棒性： 在 57 个版本中的 56 个 上表现最佳，且在 Legacy（旧版）、Middle（中期）和 Recent（新版）三个时间段均保持领先。

• 跨架构与版本迁移：

  • 版本演化转移实验的 ROC-AUC 达到 0.9887，证明版本演化信号是可迁移的。
  • 在困难的架构对（如 x86_64 $\to$ ARM）上，EvoPatch-IoT 依然显著优于仅依赖几何特征的基线。

• 补丁状态画像：

  • 在 CVE-2021-42386 案例中，代理分类器在保留架构上的平均准确率为 82.44%，平均 F1 分数为 88.47%。

---

5. 意义与影响 (Significance)

1. 重新定义固件审计流程： 证明了在缺乏符号信息的情况下，通过结合几何先验和历史演化知识，可以高效地定位漏洞函数，大幅降低人工逆向工程的成本。
2. 填补研究空白： 解决了现有二进制相似性技术难以处理“版本演化”和“去符号组件”的问题，为 IoT 固件的大规模漏洞追踪提供了可落地的技术方案。
3. 数据与工具开源： 发布的大规模 BusyBox 基准数据集和代码将推动未来 IoT 安全研究的发展，特别是针对 stripped binary 的分析。
4. 实际部署价值： 该框架不仅提高了 Top-K 准确率，更重要的是提供了可解释的证据链（如历史原型、架构对统计），帮助审计人员快速判断是否值得深入分析，适合大规模设备库存的自动化筛查。

总结： EvoPatch-IoT 通过引入“演化感知”机制，成功将几何形状、语义特征和历史版本记忆相结合，在极具挑战的去符号、跨架构 IoT 固件环境中实现了最先进的漏洞检索性能，为构建可扩展的固件安全审计系统奠定了坚实基础。