特許 7509312 プログラム解析装置、プログラム解析方法、及び、プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-06-24

(45)【発行日】2024-07-02

(54)【発明の名称】プログラム解析装置、プログラム解析方法、及び、プログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240625BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 13

(21)【出願番号】P 2023508229

(86)(22)【出願日】2021-03-23

(86)【国際出願番号】 JP2021012048

(87)【国際公開番号】W WO2022201324

(87)【国際公開日】2022-09-29

【審査請求日】2023-07-12

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】嶋田 有佑

(72)【発明者】

【氏名】山垣 則夫

【審査官】岸野 徹

(56)【参考文献】

【文献】国際公開第２０２１／０３８７０５（ＷＯ，Ａ１）

【文献】国際公開第２０２０／２４０８３０（ＷＯ，Ａ１）

【文献】米国特許出願公開第２０１９／０２２０５９６（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

(57)【特許請求の範囲】

【請求項1】

プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出手段と、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出手段と、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得手段と、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、前記関係情報取得手段によって取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、バックドアスコア算出手段と、
前記第１コードブロック抽出手段により抽出された前記第１コードブロックと、前記バックドアスコア算出手段によって算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力手段と、
を備えた、プログラム解析装置。

【請求項2】

前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持つ前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記一つ以上の第２コードブロックにおける前記所定のセンシティブな操作の内容に応じたスコアを、前記検出された第１コードブロックのバックドアスコアに加算する、
請求項１に記載のプログラム解析装置。

【請求項3】

前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを共に子ノードに持つような所定数以上の前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された所定数以上の第１コードブロックのそれぞれのバックドアスコアから第１所定スコアを減算する、
請求項２に記載のプログラム解析装置。

【請求項4】

前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの全てが通常のコントロールフローを構成する複数のコードブロックの何れかに含まれる、前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された第１コードブロックのバックドアスコアから第２所定スコアを減算する、
請求項２に記載のプログラム解析装置。

【請求項5】

前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは到達することのできないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
請求項１～４の何れか一項に記載のプログラム解析装置。

【請求項6】

前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由するパーサー機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
請求項１～４の何れか一項に記載のプログラム解析装置。

【請求項7】

前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由する認証機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
請求項１～３の何れか一項に記載のプログラム解析装置。

【請求項8】

前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由する認証機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出するように構成され、
前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの何れかが、認証機能を有するコードブロックの子ノードである前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された第１コードブロックのバックドアスコアから第３所定スコアを加算する、
請求項２に記載のプログラム解析装置。

【請求項9】

前記所定のセンシティブな操作は、ユーザによって予め定められた、所定の関数を呼び出す操作、所定の変数にアクセスする操作、所定の命令を実行する操作、の少なくとも何れかである、
請求項１～８の何れか一項に記載のプログラム解析装置。

【請求項10】

前記所定の関数を呼び出す操作は、システムコール、所定のライブラリ関数、所定のＡＰＩ（Application Programming Interface）の少なくとも何れかを呼び出す操作を含む、
請求項９に記載のプログラム解析装置。

【請求項11】

前記所定の変数にアクセスする操作は、前記プログラムのグローバル変数にアクセスする操作を含む、
請求項９に記載のプログラム解析装置。

【請求項12】

プログラム解析装置が実行するプログラム解析方法であって、
プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出ステップと、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出ステップと、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得ステップと、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出ステップと、
第１コードブロック抽出ステップにおいて抽出された前記第１コードブロックと、スコア算出ステップにおいて算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力ステップと、
を備えた、プログラム解析方法。

【請求項13】

プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出処理と、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出処理と、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得処理と、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出処理と、
第１コードブロック抽出処理において抽出された前記第１コードブロックと、スコア算出処理において算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力処理と、
をコンピュータに実行させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、プログラム解析装置、プログラム解析方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体に関する。

【背景技術】

【0002】

近年のインフラや企業システムは複雑化している。そのため、それらのインフラや企業システムは、単一の企業のデバイスやソフトウェアだけで構成されるのではなく、様々な企業のデバイスやソフトウェアを外部から調達し、それらを組み合わせて構築されることが一般的になっている。

【0003】

しかしながら、外部のメーカーから調達したソフトウェア（又はファームウェア）やハードウェアにおいて、バックドアが発見される事例が多数報告されている。本明細書で言及する「バックドア」とは、例えば、ソフトウェアを構成する複数の機能を含むプログラムに対して、該プログラムの一部として組み込まれた、ユーザに知らされていない且つ望まれていない機能として定義できる。

【0004】

そのため、インフラや企業システムの構築の取り纏めを行うメーカーは、外部のメーカーから調達したソフトウェアを構成するプログラムにおいて、バックドアが含まれていないか検査する必要がある。

【0005】

例えば、非特許文献１には、検査対象のバイナリに含まれるコードに対してスコアリングを行うことにより、バックドアコードの候補を抽出することが記載されている。ここで、非特許文献１では、対象バイナリに含まれるコードの中から、静的なデータの比較を行っている関数を特定し、その特定された関数による比較結果がその後の実行パスにどの程度影響を与えるのかについてのスコアリングを行うことにより、バックドアコードの候補を抽出している。

【先行技術文献】

【非特許文献】

【0006】

【文献】Sam L. Thomas, Tom Chothia, and Flavio D. Garcia, "Stringer: Measuring the Importance of Static Data Comparisons to Detect Backdoors and Undocumented Functionality", Computer Security ESORICS 2017, pp.513-531

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかしながら、非特許文献１では、スコアリング対象が一部のバックドアタイプに限定されてしまっているため、他のバックドアタイプの検査に適用することができない、という課題があった。

【0008】

本開示は、このような課題を解決するためになされたものであり、様々なバックドアタイプの検査に用いることが可能な、プログラム解析装置、プログラム解析方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体を提供することを目的とする。

【課題を解決するための手段】

【0009】

本開示の第１の態様に係るプログラム解析装置は、プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出手段と、プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出手段と、前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得手段と、前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、前記関係情報取得手段によって取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、バックドアスコア算出手段と、前記第１コードブロック抽出手段により抽出された前記第１コードブロックと、前記バックドアスコア算出手段によって算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力手段と、を備える。

【0010】

本開示の第２の態様に係るプログラム解析方法は、プログラム解析装置が実行するプログラム解析方法であって、プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出ステップと、プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出ステップと、前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得ステップと、前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出ステップと、第１コードブロック抽出ステップにおいて抽出された前記第１コードブロックと、スコア算出ステップにおいて算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力ステップと、を備える。

【0011】

本開示の第３の態様に係る非一時的なコンピュータ可読媒体は、プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出処理と、プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出処理と、前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得処理と、前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出処理と、第１コードブロック抽出処理において抽出された前記第１コードブロックと、スコア算出処理において算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力処理と、をコンピュータに実行させるプログラムが格納されている。

【発明の効果】

【0012】

本開示により、様々なバックドアタイプの検査に用いることが可能な、プログラム解析装置、プログラム解析方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体を提供することができる。

【図面の簡単な説明】

【0013】

【図1】実施の形態１に係るプログラム解析装置の構成例を示すブロック図である。

【図2】実施の形態１に係るプログラム解析装置の処理の流れの一例を示すフローチャートである。

【図3】実施の形態２に係るプログラム解析装置の構成例を示すブロック図である。

【図4】特定の性質を持つコードブロックの一例であるデッドコードブロックについて説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図5】特定の性質を持つコードブロックの一例であるデッドコードブロックについて説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図6】特定の性質を持つコードブロックの一例であるデッドコードブロックについて説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図7】特定の性質を持つコードブロックの他の例について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図8】図３に示すプログラム解析装置に設けられた関係情報取得部によって取得される関係情報について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図9】図３に示すプログラム解析装置に設けられた関係情報取得部によって取得される関係情報について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図10】図３に示すプログラム解析装置に設けられた関係情報取得部によって取得される関係情報について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。

【図11】実施の形態２に係るプログラム解析装置の処理の流れの一例を示すフローチャートである。

【図12】実施の形態２に係るプログラム解析装置の処理の流れの一例を示すフローチャートである。

【図13】実施の形態３に係るプログラム解析装置のハードウェア構成例を示す図である。

【図14】構想段階のプログラム解析装置の構成例を示すブロック図である。

【図15】プログラムの最適化によって生成された見かけ上のデッドコードブロックについて説明する模式図である。

【発明を実施するための形態】

【0014】

以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。

【0015】

＜発明者による事前検討＞
実施の形態１に係るプログラム解析装置について説明する前に、発明者が事前検討した内容について説明する。

【0016】

図１４は、実施の形態１に至る前の構想段階のプログラム解析装置５０の構成例を示すブロック図である。図１４に示すように、プログラム解析装置５０は、コードブロック抽出部５１と、バックドアスコア算出部５２と、出力部５３と、を備える。

【0017】

コードブロック抽出部５１は、解析対象のプログラムのバイナリ（以下、対象バイナリと称す）に含まれるコードの中から、特定の性質を持つコードブロックをすべて抽出する。ここで述べるコードブロックとは、例えば、プログラム内における関数単位、又は、ベーシックブロック単位のコード群を指す。特定の性質を持つコードブロックとは、例えばデッドコードブロックのことである。また、デッドコードブロックとは、プログラムを実行した際に、通常のコントロールフローでは到達することのできないコードブロックのことである。

【0018】

バックドアスコア算出部５２は、コードブロック抽出部５１によって抽出された各コードブロックに対して、当該コードブロックの操作内容に基づいて、当該コードブロックがバックドアコードである可能性を示すスコア、又は、当該コードブロックが実行された際に、システムに及ぼす影響の大きさを示すスコアなどであるバックドアスコアを算出する。ここで述べるシステムとは、例えば、解析対象のプログラムを実行する環境を含むコンピュータのことである。

【0019】

例えば、バックドアスコア算出部５２は、コードブロック抽出部５１によって抽出されたコードブロックの中に所定のセンシティブな操作が存在する場合、当該操作に対して予め設定されたスコアを、当該コードブロックに対するバックドアスコアに加算する処理を行う。ここで述べる所定のセンシティブな操作とは、例えば、不正に実行されると、プログラムや当該プログラムを実行する環境を含むシステムに重大な影響を及ぼすと考えられる操作であって、ユーザ（例えば、プログラムの検査を依頼する依頼者や、検査を行う解析者など）によって予め定められた操作のことである。

【0020】

出力部５３は、コードブロック抽出部５１によって抽出されたコードブロックと、バックドアスコア算出部５２によって算出された当該コードブロックに対するバックドアスコアと、を解析結果として出力する。

【0021】

以上により、プログラム解析装置５０は、解析対象のプログラムに含まれるバックドアコードの候補であるコードブロックと、それに対するバックドアスコアとを、例えばプログラムの解析者に提示することができる。そのため、プログラムの解析者は、解析対象のプログラムのコードと仕様書とを比較したり、当該プログラムのコードを手動でつぶさに調べたりすることなく、当該プログラムからバックドアコードの候補を抽出することができる。また、プログラム解析装置５０は、関連技術の場合と異なり、様々なバックドアタイプの検査に用いることができる。

【0022】

ところで、スコア化に用いられるシステムコール関数は、プログラム中に数百個単位で存在する。そのため、そのようなシステムコール関数の呼び出しを行うコードブロック、即ち、所定のセンシティブな操作を行うコードブロック、の数も増加傾向にある。また、コンパイラによるプログラムの最適化によって関数のインライン化が行われた結果、見かけ上はデッドコードであるがバックドアコードである可能性の低いデッドコードの数が増大している。図１５のコントロールフローグラフの例を参照すると、最適化前には通常のフローに含まれていたノードＤ５１が、最適化後には通常のフローから外れてデッドコードになっている。なお、図１５において、実線の円は通常のノードを、破線の円はデッドコードブロックとなるノードを、矢印はコントロールフローを、それぞれ表している。これらのことから、所定のセンシティブな操作を行うコードにつながるデッドコードの数も増大している。

【0023】

しかしながら、プログラム解析装置５０は、上述したようなバックドアコードである可能性の低いデッドコードに対しても、他のデッドコードと区別することなく、当該他のデッドコードと同じ条件でバックドアスコアを算出している。そのため、プログラム解析装置５０は、信頼性の高いバックドアスコアを算出することができず、その結果、バックドアコードである可能性の高いコードブロックを精度良く抽出することができないという課題があった。

【0024】

そこで、各コードブロックに対して信頼性の高いバックドアスコアを算出することにより、バックドアコードである可能性の高いコードブロックを精度良く抽出することが可能なプログラム解析装置１０が見いだされた。

【0025】

＜実施の形態１＞
図１は、実施の形態１にかかるプログラム解析装置１０の構成例を示すブロック図である。図１に示すように、プログラム解析装置１０は、第１コードブロック抽出部１１と、第２コードブロック抽出部１２と、関係情報取得部１３と、バックドアスコア算出部１４と、を備える。

【0026】

第１コードブロック抽出部１１は、解析対象のプログラムのバイナリ（以下、対象バイナリと称す）に含まれるコードの中から、特定の性質を持つコードブロックを第１コードブロックとしてすべて抽出する。ここで述べるコードブロックとは、例えば、プログラム内における関数単位、又は、ベーシックブロック単位のコード群を指す。特定の性質を持つコードブロックとは、例えばデッドコードブロックのことである。また、デッドコードブロックとは、プログラムを実行した際に、通常のコントロールフローでは到達することのできないコードブロックのことである。

【0027】

第２コードブロック抽出部１２は、対象バイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックを第２コードブロックとして抽出する。ここで述べる所定のセンシティブな操作とは、詳しくは後述するが、例えば、不正に実行されると、プログラムや当該プログラムを実行する環境を含むシステムに重大な影響を及ぼすと考えられる操作であって、ユーザによって予め定められた操作のことである。また、システムとは、例えば、解析対象のプログラムを実行する環境を含むコンピュータのことである。

【0028】

関係情報取得部１３は、デッドコードブロック等の第１コードブロックと、所定のセンシティブな操作を行う第２コードブロックと、の間のコントロールフロー上での関係を示す関係情報を取得する。

【0029】

例えば、関係情報取得部１３は、第１コードブロックのうち、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持つ第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す情報である関係情報Ａ１として取得する。また、関係情報取得部１３は、第１コードブロックのうち、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの全てが通常のコントロールフローから辿れるような（換言すると、当該一つ以上の第２コードブロックの全てが通常のコントロールフローを構成する複数のコードブロックに含まれるような）、第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す情報である関係情報Ａ２として取得する。関係情報Ａ１，Ａ２以外の関係情報については、後述する。

【0030】

バックドアスコア算出部１４は、第１コードブロック抽出部１１によって抽出された各第１コードブロックに対して、当該第１コードブロックの操作内容（所定のセンシティブな操作の内容）に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出する。

【0031】

さらに、バックドアスコア算出部１４は、関係情報取得部１３によって取得された関係情報に基づいて、各第１コードブロックに対するバックドアスコアの加減算を行う。

【0032】

例えば、関係情報取得部１３によって上述の関係情報Ａ１が取得された場合、換言すると、関係情報取得部１３によって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持つような第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、バックドアコードである可能性が比較的高いと考えられる。この場合、バックドアスコア算出部１４は、前記一つ以上の第２コードブロックに含まれる所定のセンシティブな操作の内容に応じたスコアを、検出された第１コードブロックに対するバックドアスコアに加算する。

【0033】

また、例えば、関係情報取得部１３によって上述の関係情報Ａ２が取得された場合、換言すると、関係情報取得部１３によって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックが何れも通常のコントロールフローから辿れるような、第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、プログラムの最適化に伴う関数のインライン化などによって生成されたデッドコードである可能性が高いため、バックドアコードである可能性は低い。この場合、バックドアスコア算出部１４は、例えば検出された第１コードブロックに対するバックドアスコアから所定のスコアを減算する。

【0034】

出力部１５は、第１コードブロック抽出部１１によって抽出された第１コードブロックと、バックドアスコア算出部１４によって算出された当該第１コードブロックに対するバックドアスコアと、を解析結果として出力する。このとき、出力部１５は、例えば、第１コードブロックに当該コードブロックに対するバックドアスコアを付与した態様で、解析結果を出力することができる。

【0035】

続いて、図２を用いて、プログラム解析装置１０の処理の流れの一例を説明する。図２は、プログラム解析装置１０の処理の流れの一例を示すフローチャートである。

【0036】

図２に示すように、まず、第１コードブロック抽出部１１は、対象バイナリに含まれるコードの中から、特定の性質を持つコードブロックを第１コードブロックとしてすべて抽出する（ステップＳ１０１）。その後、第２コードブロック抽出部１２は、対象バイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックを第２コードブロックとして抽出する（ステップＳ１０２）。その後、関係情報取得部１３は、第１コードブロックと、第２コードブロックと、の間のコントロールフロー上での関係を示す関係情報を取得する（ステップＳ１０３）。その後、バックドアスコア算出部１４は、第１コードブロック抽出部１１によって抽出された各第１コードブロックに対して、当該第１コードブロックの操作内容（所定のセンシティブな操作の内容）に基づいて、バックドアスコアを算出する（ステップＳ１０４）。さらに、バックドアスコア算出部１４は、関係情報取得部１３によって取得された関係情報に基づいて、各第１コードブロックに対するバックドアスコアの加減算を行う（ステップＳ１０５）。その後、出力部１５は、第１コードブロック抽出部１１によって抽出された第１コードブロックと、バックドアスコア算出部１４によって算出された当該第１コードブロックに対するバックドアスコアと、を解析結果として出力する（ステップＳ１０６）。

【0037】

以上により、本実施の形態にかかるプログラム解析装置１０は、解析対象のプログラムに含まれるバックドアコードの候補である第１コードブロックと、それに対するバックドアスコアとを、例えばプログラムの解析者に提示することができる。それにより、プログラムの解析者は、解析対象のプログラムのコードと仕様書とを比較したり、当該プログラムのコードを手動でつぶさに調べたりすることなく、当該プログラムからバックドアコードの候補を抽出することができる。

【0038】

ここで、本実施の形態にかかるプログラム解析装置１０は、特定の性質を持つコードブロックである第１コードブロックと、所定のセンシティブな操作を行うコードブロックである第２コードブロックと、の間のコントロールフロー上での関係を考慮して、各第１コードブロックに対するバックドアスコアの算出を行う。それにより、プログラム解析装置１０は、例えば、コンパイラによるプログラムの最適化によって関数のインライン化が行われた結果、見かけ上はデッドコードであるが、バックドアコードである可能性の低い第１コードブロック、に対するバックドアスコアを低くすることなどができる。つまり、プログラム解析装置１０は、各第１コードブロックに対してより信頼性の高いバックドアスコアを算出することができる。その結果、プログラムの解析者は、当該プログラムからバックドアコードである可能性の高いコードブロックを精度良く抽出することができる。

【0039】

＜実施の形態２＞
図３は、実施の形態２にかかるプログラム解析装置２０の構成例を示すブロック図である。図３に示すように、プログラム解析装置２０は、第１コードブロック抽出部２１と、第２コードブロック抽出部２２と、関係情報取得部２３と、バックドアスコア算出部２４と、出力部２５と、対象操作テーブル２６と、を備える。

【0040】

第１コードブロック抽出部２１は、対象バイナリに含まれるコードの中から、特定の性質を持つコードブロックを第１コードブロックとしてすべて抽出する。

【0041】

より具体的には、第１コードブロック抽出部２１は、対象バイナリに対して、静的解析などを行い、プログラム全体のコントロールフローグラフを作成する。その後、第１コードブロック抽出部２１は、作成したコントロールフローグラフなどの情報に基づいて、対象バイナリに含まれるコードの中から、特定の性質を持つコードブロックを第１コードブロックとしてすべて抽出する。

【0042】

特定の性質を持つコードブロックとは、上述したように、例えばデッドコードブロックのことである。また、デッドコードブロックとは、プログラムを実行した際に、通常のコントロールフローでは到達することのできないコードブロックのことである。

【0043】

ここで、図４及び図５を参照して、デッドコードブロックを抽出する方法の例について説明する。図４及び図５は、デッドコードブロックについて説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。なお、図４及び図５において、実線の円は通常のノードを、破線の円はデッドコードブロックとなるノードを、矢印はコントロールフローを、それぞれ表している（以降の図６及び図７において同じ）。

【0044】

図４に示すように、第１コードブロック抽出部２１は、コントロールフローグラフ上において親ノードを持たないノードを、デッドコードブロック（即ち、第１コードブロック）として抽出する。また、図５に示すように、第１コードブロック抽出部２１は、コントロールフローグラフ上において親ノードを持たないノードに加えて、その子ノードも、デッドコードブロック（即ち、第１コードブロック）として抽出してもよい。

【0045】

上述したデッドコードブロックは、プログラムへの通常の入力値が与えられている限りは、実行されることはない。しかし、図６に示すように、プログラムに脆弱性がある場合、デッドコードブロックは、特殊な入力値を与えるなどの特定の条件下において、脆弱性のある関数により呼び出され、実行されることがある。

【0046】

なお、特定の性質を持つコードブロックは、上述したデッドコードブロックに限られない。例えば、プログラムを通常実行する上で、必ず経由するような起点となる所定の機能、具体的には、認証機能やパーサー機能などを経由しないコードブロックを、特定の性質を持つコードブロックとしてもよい。図７の例では、コントロールフロー上に、起点となる認証機能が存在する。この場合、第１コードブロック抽出部２１は、認証機能を経由しないコードブロックを、特定の性質を持つコードブロックとして抽出してもよい。

【0047】

第２コードブロック抽出部２２は、対象バイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックを第２コードブロックとして抽出する。

【0048】

所定のセンシティブな操作とは、上述したように、例えば、不正に実行されると、プログラムや当該プログラムを実行する環境を含むシステムに重大な影響を及ぼすと考えられる操作であって、ユーザによって予め定められた操作のことである。

【0049】

例えば、所定のセンシティブな操作とは、ユーザ（例えば、プログラムの検査を依頼する依頼者や、検査を行う解析者など）によって予め定められた、所定の関数を呼び出す操作、所定の変数にアクセスする操作、及び、所定の命令を実行する操作の少なくとも何れかの操作のことである。所定の関数を呼び出す操作とは、システムコール、所定のライブラリ関数、及び、所定のＡＰＩ（Application Programming Interface）の少なくとも何れかを呼び出す操作のことである。所定の変数にアクセスする操作とは、例えば、前記プログラムのグローバル変数にアクセスする操作のことである。これらの所定のセンシティブな操作は、それらに対応するスコアとともに、ユーザによって予め対象操作テーブル２６に格納されている。

【0050】

関係情報取得部２３は、デッドコードブロック等の第１コードブロックと、所定のセンシティブな操作を行う第２コードブロックと、の間のコントロールフロー上での関係を示す関係情報を取得する。

【0051】

例えば、関係情報取得部２３は、第１コードブロックのうち、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持つ第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す情報である関係情報Ａ１として取得する。

【0052】

また、関係情報取得部２３は、第１コードブロックのうち、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの全てが通常のコントロールフローから辿れるような（換言すると、当該一つ以上の第２コードブロックの全てが通常のコントロールフローを構成する複数のコードブロックに含まれるような）、第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す関係情報Ａ２として取得する。但し、関係情報取得部２３は、デッドコードブロックや、パーサー機能を経由しない（パーサーから辿ることのできない）コードブロック等の第１コードブロックについての関係情報Ａ２を取得対象としており、通常のコントロールフローで経由する認証機能を有するコードブロック、を経由しない第１コードブロック（以下、単に認証機能を経由しないコードブロックとも称す）については、関係情報Ａ２の取得対象としていない。

【0053】

図８は、関係情報取得部２３によって取得される関係情報Ａ１，Ａ２について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。図８の例では、コントロールフローグラフ上において親ノードを持たないノードである９個のデッドコードブロックが、スコアリング対象の第１コードブロックＤ１～Ｄ９として抽出されている。また、図８の例では、所定のセンシティブな操作を行うノードである７個のコードブロックが、第２コードブロックＥ１～Ｅ７として抽出されている。なお、図８の例では、第２コードブロックＥ１～Ｅ７が、それぞれ所定のセンシティブな関数Ｓ１～Ｓ７の呼び出し操作を行っているものとする。

【0054】

図８を参照すると、関係情報取得部２３は、第１コードブロックＤ１～Ｄ９のうち、第２コードブロックＥ１～Ｅ７の少なくとも何れかを子ノードに持つ第１コードブロックＤ２～Ｄ９を、それらに繋がる第２コードブロックとの関係性を表す情報である関係情報Ａ１として取得する。また、関係情報取得部２３は、第１コードブロックＤ１～Ｄ９のうち、第２コードブロックＥ１～Ｅ７の少なくとも何れかを子ノードに持ち、且つ、子ノードに持つ第２コードブロックの全てが通常のコントロールフロー（例えばＣ言語の場合にはｍａｉｎ関数）から辿れるような第１コードブロックＤ３～Ｄ５を、そられに繋がる第２コードブロックとの関係性を表す情報である関係情報Ａ２として取得する。

【0055】

なお、関係情報取得部２３は、上述の関係情報Ａ１，Ａ２を取得する場合に限られず、バックコードである可能性が低いとしてユーザに予め設定された任意の関係情報を取得してもよい。

【0056】

例えば、関係情報取得部２３は、一つ以上の第２コードブロックを共に子ノードに持つような所定数以上の第１コードブロックが存在する場合、当該所定数以上の第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す情報である関係情報Ａ３として取得してもよい。ここで、多数の第１コードブロックから共通の第２コードブロックに到達可能であるということは、あらゆるユーザ入力や実行条件によって共通の第２コードブロックに到達可能であることになるため、これらの多数の第１コードブロックがバックドアコードである可能性は低い。

【0057】

図９は、関係情報取得部２３によって取得される関係情報Ａ３について説明するための、あるプログラムのコントロールフローグラフの例を示す模式図である。図９の例では、コントロールフローグラフ上において親ノードを持たないノードである７個のデッドコードブロックが、スコアリング対象の第１コードブロックＤ１１～Ｄ１７として抽出されている。また、図９の例では、所定のセンシティブな操作を行うノードである１個のコードブロックが、第２コードブロックＥ１１として抽出されている。なお、図９の例では、第２コードブロックＥ１１が、所定のセンシティブな関数Ｓ１１の呼び出し操作を行っているものとする。

【0058】

図９を参照すると、所定数が５である場合、共通の第２コードブロックＥ１１を子ノードに持つような第１コードブロックが所定数以上である。そのため、関係情報取得部２３は、共通の第２コードブロックＥ１１を子ノードに持つ所定数以上の第１コードブロックＤ１１～Ｄ１７のすべてを、当該第２コードブロックＥ１１との関係性を表す情報である関係情報Ａ３として取得する。

【0059】

また、図１０は、関係情報取得部２３によって取得される関係情報Ａ３について説明するための、あるプログラムのコントロールフローグラフの他の例を示す模式図である。図１０の例では、コントロールフローグラフ上において親ノードを持たないノードである７個のデッドコードブロックが、スコアリング対象の第１コードブロックＤ２１～Ｄ２７として抽出されている。また、図１０の例では、所定のセンシティブな操作を行うノードである７個のコードブロックが、第２コードブロックＥ２１～Ｅ２７として抽出されている。なお、図１０の例では、第２コードブロックＥ２１～Ｅ２７が、それぞれ所定のセンシティブな関数Ｓ２１～Ｓ２７の呼び出し操作を行っているものとする。

【0060】

図１０を参照すると、所定数が５である場合、共通の第２コードブロックＥ２１～Ｅ２７を子ノードに持つような第１コードブロックが所定数以上である。そのため、関係情報取得部２３は、共通の第２コードブロックＥ２１～Ｅ２７を子ノードに持つ所定数以上の第１コードブロックＤ２１～Ｄ２７のすべてを、当該第２コードブロックＥ２１～Ｅ２７との関係性を表す情報である関係情報Ａ３として取得する。

【0061】

また、例えば、関係情報取得部２３は、通常のコントロールフローで経由する認証機能を有するコードブロック、を経由しない第１コードブロックであって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの何れかが、認証機能を有するコードブロックの子ノードであるような、第１コードブロックを、当該一つ以上の第２コードブロックとの関係性を表す情報である関係情報Ａ４として取得してもよい。

【0062】

バックドアスコア算出部２４は、第１コードブロック抽出部２１によって抽出された各第１コードブロックに対して、当該第１コードブロックの操作内容（所定のセンシティブな操作）に基づいて、バックドアスコアを算出する。

【0063】

より具体的には、バックドアスコア算出部２４は、第１コードブロック抽出部２１によって抽出された第１コードブロック毎に、当該第１コードブロックの操作内容に応じたスコアを対象操作テーブル２６から読み出して、当該第１コードブロックのバックドアスコアに加算する。

【0064】

なお、対象操作テーブル２６には、対象操作（所定のセンシティブな操作）とそれに対応するスコアとの組み合わせが複数登録されている。対象操作テーブル２６は、プログラム解析装置２０の内部に設けられる場合に限られず、プログラム解析装置２０の外部の記憶装置などに設けられてもよい。

【0065】

さらに、バックドアスコア算出部２４は、関係情報取得部２３によって取得された関係情報に基づいて、各第１コードブロックに対するバックドアスコアの加減算を行う。

【0066】

例えば、関係情報取得部２３によって上述の関係情報Ａ１が取得された場合、換言すると、関係情報取得部２３によって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持つような第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、バックドアコードである可能性が比較的高いと考えられる。この場合、バックドアスコア算出部２４は、前記一つ以上の第２コードブロックに含まれる所定のセンシティブな操作の内容に応じたスコアを、検出された第１コードブロックに対するバックドアスコアに加算する。なお、このときのスコアには、対象操作テーブル２６に登録された対象操作に応じたスコアが用いられる。

【0067】

また、例えば、関係情報取得部２３によって上述の関係情報Ａ２が取得された場合、換言すると、関係情報取得部２３によって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックが何れも通常のコントロールフローから辿れるような、第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、プログラムの最適化に伴う関数のインライン化などによって生成されたデッドコードである可能性が高いため、バックドアコードである可能性は低い。この場合、バックドアスコア算出部２４は、例えば検出された第１コードブロックに対するバックドアスコアから所定のスコアを減算する（或いは、関係情報Ａ１が取得されたことによって加算されたスコア分を減算する）。但し、既に説明したように、このとき検出された第１コードブロックには、認証機能を経由しないコードブロックは含まれていない。なお、このときのスコアには、対象操作テーブル２６に登録された対象操作に応じたスコアが用いられてもよい。

【0068】

また、例えば、関係情報取得部２３によって上述の関係情報Ａ３が取得された場合、換言すると、一つ以上の第２コードブロックを共に子ノードに持つ所定数以上の第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、バックドアコードである可能性は低い。この場合、バックドアスコア算出部２４は、例えば検出された第１コードブロックに対するバックドアスコアから所定のスコアを減算する（或いは、関係情報Ａ１が取得されたことによって加算されたスコア分を減算する）。なお、このときのスコアには、対象操作テーブル２６に登録された対象操作に応じたスコアが用いられてもよい。

【0069】

さらに、例えば、関係情報取得部２３によって上述の関係情報Ａ４が取得された場合、換言すると、認証機能を経由しない第１コードブロックであって、所定のセンシティブな操作を行う一つ以上の第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの何れかが、認証機能を有するコードブロックの子ノードであるような、第１コードブロックが検出（取得）された場合、検出された第１コードブロックは、バックドアコードである可能性が比較的高いと考えられる。この場合、バックドアスコア算出部２４は、例えば検出された第１コードブロックに対するバックドアスコアに所定のスコアを加算する（或いは、関係情報Ａ１が取得されたことによって加算されたスコアの減算を行わない）。なお、このときのスコアには、対象操作テーブル２６に登録された対象操作に応じたスコアが用いられてもよい。

【0070】

出力部２５は、第１コードブロック抽出部２１によって抽出された第１コードブロックと、バックドアスコア算出部２４によって算出された当該第１コードブロックに対するバックドアスコアと、を解析結果として出力する。

【0071】

出力部２５による各第１コードブロックの出力形式は、対象バイナリ内におけるシンボル情報、該コードブロックの相対アドレス、プログラムの解析時に命名したコードブロック名などでよい。また、第１コードブロックは、そのコードブロックに対するバックドアスコアが付与された態様で、出力されてもよい。

【0072】

なお、プログラム解析装置２０では、解析対象のプログラムがバイナリ形式であり、該プログラムのバイナリが入力されることを想定しているが、ソースコードを解析対象としてもよい。その場合は、第１コードブロック抽出部２１が、解析対象のソースコードをコンパイルし、バイナリ形式に変換すればよい。また、第１コードブロック抽出部２１、第２コードブロック抽出部２２、関係情報取得部２３、バックドアスコア算出部２４、又は不図示の処理部が、ソースコードから得られる情報を適宜解析に利用してもよい。

【0073】

続いて、図１１及び図１２を用いて、プログラム解析装置２０の処理の流れの一例を説明する。図１１及び図１２は、プログラム解析装置２０の処理の流れの一例を示すフローチャートである。なお、図１１及び図１２のそれぞれの記号Ａは、連結しており、図１１及び図１２のそれぞれの記号Ｂは、連結している。

【0074】

図１１及び図１２に示すように、まず、第１コードブロック抽出部２１は、対象バイナリに対して、静的解析などを行い、コントロールフローグラフを作成する（ステップＳ２０１）。その後、第１コードブロック抽出部２１は、作成したコントロールフローグラフなどの情報に基づいて、対象バイナリに含まれるコードの中から、特定の性質を持つコードブロック群を第１コードブロック群（集合Ｄ）としてすべて抽出する（ステップＳ２０２）。

【0075】

その後、第２コードブロック抽出部２２は、対象バイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロック群を第２コードブロック群（集合Ｅ）として抽出する（ステップＳ２０３）。

【0076】

また、このとき、第２コードブロック抽出部２２は、第２コードブロック群（集合Ｅ）の中から、通常のコントロールフローから辿れる第２コードブロック群（集合Ｅａ）と、第１コードブロック群（集合Ｄ）に含まれる所定数以上の第１コードブロックの全てから辿れる第２コードブロック群（集合Ｅｂ）と、を抽出する（ステップＳ２０４）。

【0077】

その後、関係情報取得部２３は、デッドコードブロック等の第１コードブロックと、所定のセンシティブな操作を行う第２コードブロックと、の間のコントロールフロー上での関係を示す関係情報を取得する。その後、バックドアスコア算出部２４は、第１コードブロック抽出部２１によって抽出された各第１コードブロックに対して、当該第１コードブロックの操作内容に基づいて、バックドアスコアを算出する。さらに、バックドアスコア算出部２４は、関係情報取得部２３によって取得された関係情報に基づいて、各第１コードブロックに対するバックドアスコアの加減算を行う。

【0078】

関係情報取得部２３及びバックドアスコア算出部２４による具体的な処理の流れは、例えば、以下の通りである。

【0079】

まず、第１コードブロック群（集合Ｄ）の中から、検査未実施の第１コードブロックが検査対象として一つ選択される（ステップＳ２０５）。その後、検査対象の第１コードブロック内の操作内容（所定のセンシティブな操作の内容）に応じたバックドアスコアの算出が行われる（ステップＳ２０６）。

【0080】

このとき、検査対象の第１コードブロックが、子ノードに、集合Ｅの要素を持つか否かの判定が行われる（ステップＳ２０７）。即ち、検査対象の第１コードブロックが、子ノードに、所定のセンシティブな操作を行う第２コードブロックを持つか否かの判定が行われる。

【0081】

例えば、検査対象の第１コードブロックが、子ノードに、集合Ｅの要素を持つ場合（ステップＳ２０７のＹＥＳ）、検査対象の第１コードブロックに対するバックドアスコアには、所定のセンシティブな操作の内容に応じたスコアが加算される（ステップＳ２０８）。一方、検査対象の第１コードブロックが、子ノードに、集合Ｅの要素を持たない場合（ステップＳ２０７のＮＯ）、検査対象の第１コードブロックに対するバックドアスコアの加減算は行われない。

【0082】

また、このとき、検査対象の第１コードブロックが、認証機能を経由しないコードブロックであるか否かの判定が行われる（ステップＳ２０９）。

【0083】

例えば、検査対象の第１コードブロックが、認証機能を経由しないコードブロックではない場合（ステップＳ２０９のＮＯ）、即ち、例えば、デッドコードブロックや、パーサーから辿れないコードブロックである場合、続けて、ステップＳ２１０の処理が行われる。

【0084】

具体的には、検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、集合Ｅａ又は集合Ｅｂの要素であるか否かの判定が行われる（ステップＳ２１０）。即ち、検査対象の第１コードブロックが子ノードに持つ第２コードブロックの全てが、通常のコントロールフローから辿れるか、又は、所定数以上の第１コードブロックの全てから辿れるか、の判定が行われる。

【0085】

例えば、検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、集合Ｅａ又は集合Ｅｂの要素である場合（ステップＳ２１０のＹＥＳ）、検査対象の第１コードブロックに対するバックドアスコアから、集合Ｅａに応じた所定スコア又は集合Ｅｂに応じた所定スコアが減算される（ステップＳ２１１）。一方、検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、集合Ｅａ及び集合Ｅｂの何れの要素でもない場合（ステップＳ２１０のＮＯ）、検査対象の第１コードブロックに対するバックドアスコアの加減算は行われない。

【0086】

ステップＳ２０９の処理において、検査対象の第１コードブロックが、認証機能を経由しないコードブロックである場合（ステップＳ２０９のＹＥＳ）、続けて、ステップＳ２１２の処理が行われる。

【0087】

具体的には、検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、認証機能を有するコードブロックから辿れる要素であるか否かの判定が行われる（ステップＳ２１２）。即ち、検査対象の第１コードブロックが子ノードに持つ第２コードブロックの何れかが、認証機能を有するコードブロックから辿れるか（認証機能を有するコードブロックの子ノードであるか）否かの判定が行われる。

【0088】

検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、認証機能を有するコードブロックから辿れる要素である場合（ステップＳ２１２のＹＥＳ）、検査対象の第１コードブロックに対するバックドアスコアに、所定スコアが加算される（ステップＳ２１３）。一方、検査対象の第１コードブロックが子ノードに持つ集合Ｅの要素が、認証機能を有するコードブロックから辿れる要素でない場合（ステップＳ２１２のＮＯ）、検査対象の第１コードブロックに対するバックドアスコアの加算は行われない。

【0089】

これで、検査対象の第１コードブロックに対するバックドアスコアの算出が完了する。

【0090】

その後、検査未実施の第１コードブロックが残っている場合には（ステップＳ２１４のＹＥＳ）、検査未実施の第１コードブロックが検査対象として一つ選択され（ステップＳ２０５）、ステップＳ２０６～Ｓ２１３の処理が行われる。検査未実施の第１コードブロックが残っていない場合には（ステップＳ２１４のＮＯ）、各第１コードブロック及び当該第１コードブロックに対するバックドアスコアが、解析結果として出力部２５から出力される（ステップＳ２１５）。

【0091】

以上により、本実施の形態にかかるプログラム解析装置２０は、解析対象のプログラムに含まれるバックドアコードの候補である第１コードブロックと、それに対するバックドアスコアとを、例えばプログラムの解析者に提示することができる。それにより、プログラムの解析者は、解析対象のプログラムのコードと仕様書とを比較したり、当該プログラムのコードを手動でつぶさに調べたりすることなく、当該プログラムからバックドアコードの候補を抽出することができる。

【0092】

ここで、本実施の形態にかかるプログラム解析装置２０は、特定の性質を持つコードブロックである第１コードブロックと、所定のセンシティブな操作を行うコードブロックである第２コードブロックと、の間のコントロールフロー上での関係を考慮して、各第１コードブロックに対するバックドアスコアの算出を行う。それにより、プログラム解析装置１０は、例えば、コンパイラによるプログラムの最適化によって関数のインライン化が行われた結果、見かけ上はデッドコードであるが、バックドアコードである可能性の低い第１コードブロック、に対するバックドアスコアを低くすることなどができる。つまり、プログラム解析装置２０は、各第１コードブロックに対してより信頼性の高いバックドアスコアを算出することができる。その結果、プログラムの解析者は、当該プログラムからバックドアコードである可能性の高いコードブロックを精度良く抽出することができる。

【0093】

また、解析者などであるユーザは、バックドアコードの候補となるコードブロック及びその子ノードが持つ可能性のある操作を、自ら、対象操作テーブル２６に登録することができる。そのため、ユーザは、どのようなコードブロックを、バックドアコードの候補として抽出するかを決めることができる。

【0094】

＜実施の形態３＞
図１３は、実施の形態３に係るプログラム解析装置１００のハードウェア構成例を示す図である。図１３において、プログラム解析装置１００は、プロセッサ１０１と、メモリ１０２と、を備えている。プロセッサ１０１は、例えば、マイクロプロセッサ、ＭＰＵ（Micro Processing Unit）、又はＣＰＵ（Central Processing Unit）であってもよい。プロセッサ１０１は、複数のプロセッサを含んでもよい。メモリ１０２は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１０２は、プロセッサ１０１から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１０１は、図示されていないＩ／Ｏ（Input/Output）インタフェースを介してメモリ１０２にアクセスしてもよい。

【0095】

実施の形態１に係るプログラム解析装置１０は、図１３に示したハードウェア構成を有することができる。また、プログラム解析装置１０における第１コードブロック抽出部１１、第２コードブロック抽出部１２、関係情報取得部１３、バックドアスコア算出部１４、及び、出力部１５は、プロセッサ１０１がメモリ１０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。

【0096】

同様に、実施の形態２に係るプログラム解析装置２０は、図１３に示したハードウェア構成を有することができる。また、プログラム解析装置２０における第１コードブロック抽出部２１、第２コードブロック抽出部２２、関係情報取得部２３、バックドアスコア算出部２４、及び、出力部２５は、プロセッサ１０１がメモリ１０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。また、プログラム解析装置２０における対象操作テーブル２６は、メモリ１０２に記憶されてもよい。

【0097】

プログラム解析装置１０，２０を実現するための上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ－ＲＯＭ（Compact Disc-Read Only Memory）、ＣＤ－Ｒ（CD-Recordable）、ＣＤ－Ｒ／Ｗ（CD-ReWritable）、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory）を含む。また、上述したプログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバなどの有線通信路、又は無線通信路を介して、プログラムをプログラム解析装置１０，２０に供給できる。

【0098】

以上、実施の形態を参照して本開示を説明したが、本開示は上述した実施の形態に限定されるものではない。本開示の構成や詳細には、本開示のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0099】

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

【0100】

（付記１）
プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出手段と、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出手段と、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得手段と、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、前記関係情報取得手段によって取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、バックドアスコア算出手段と、
前記第１コードブロック抽出手段により抽出された前記第１コードブロックと、前記バックドアスコア算出手段によって算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力手段と、
を備えた、プログラム解析装置。

【0101】

（付記２）
前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持つ前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記一つ以上の第２コードブロックにおける前記所定のセンシティブな操作の内容に応じたスコアを、前記検出された第１コードブロックのバックドアスコアに加算する、
付記１に記載のプログラム解析装置。

【0102】

（付記３）
前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを共に子ノードに持つような所定数以上の前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された所定数以上の第１コードブロックのそれぞれのバックドアスコアから第１所定スコアを減算する、
付記２に記載のプログラム解析装置。

【0103】

（付記４）
前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの全てが通常のコントロールフローを構成する複数のコードブロックの何れかに含まれる、前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された第１コードブロックのバックドアスコアから第２所定スコアを減算する、
付記２に記載のプログラム解析装置。

【0104】

（付記５）
前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは到達することのできないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
付記１～４の何れか一項に記載のプログラム解析装置。

【0105】

（付記６）
前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由するパーサー機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
付記１～４の何れか一項に記載のプログラム解析装置。

【0106】

（付記７）
前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由する認証機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出する、
付記１～３の何れか一項に記載のプログラム解析装置。

【0107】

（付記８）
前記第１コードブロック抽出手段は、前記プログラムを実行した際に、通常のコントロールフローでは経由する認証機能を有するコードブロック、を経由しないコードブロックを、前記特定の性質を持つコードブロックである前記第１コードブロックとして、前記バイナリに含まれるコードの中から抽出するように構成され、
前記関係情報取得手段によって、前記所定のセンシティブな操作を行う一つ以上の前記第２コードブロックを子ノードに持ち、且つ、当該一つ以上の第２コードブロックの何れかが、認証機能を有するコードブロックの子ノードである前記第１コードブロックが検出された場合、前記バックドアスコア算出手段は、前記検出された第１コードブロックのバックドアスコアから第３所定スコアを加算する、
付記２に記載のプログラム解析装置。

【0108】

（付記９）
前記所定のセンシティブな操作は、ユーザによって予め定められた、所定の関数を呼び出す操作、所定の変数にアクセスする操作、所定の命令を実行する操作、の少なくとも何れかである、
付記１～８の何れか一項に記載のプログラム解析装置。

【0109】

（付記１０）
前記所定の関数を呼び出す操作は、システムコール、所定のライブラリ関数、所定のＡＰＩ（Application Programming Interface）の少なくとも何れかを呼び出す操作を含む、
付記９に記載のプログラム解析装置。

【0110】

（付記１１）
前記所定の変数にアクセスする操作は、前記プログラムのグローバル変数にアクセスする操作を含む、
付記９に記載のプログラム解析装置。

【0111】

（付記１２）
プログラム解析装置が実行するプログラム解析方法であって、
プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出ステップと、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出ステップと、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得ステップと、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出ステップと、
第１コードブロック抽出ステップにおいて抽出された前記第１コードブロックと、スコア算出ステップにおいて算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力ステップと、
を備えた、プログラム解析方法。

【0112】

（付記１３）
プログラムのバイナリに含まれるコードの中から、特定の性質を持つコードブロックである第１コードブロックを抽出する第１コードブロック抽出処理と、
プログラムのバイナリに含まれるコードの中から、所定のセンシティブな操作を行うコードブロックである第２コードブロックを抽出する第２コードブロック抽出処理と、
前記第１コードブロックと前記第２コードブロックとの間のコントロールフロー上での関係を示す関係情報を取得する関係情報取得処理と、
前記第１コードブロックにおける前記所定のセンシティブな操作の内容に基づいて、当該第１コードブロックがバックドアコードである可能性を示すスコア、又は、当該第１コードブロックが実行された際にシステムに及ぼす影響の大きさを示すスコアである、バックドアスコアを算出するとともに、取得された前記関係情報に基づいて、前記第１コードブロックに対する前記バックドアスコアの加減算を行う、スコア算出処理と、
第１コードブロック抽出処理において抽出された前記第１コードブロックと、スコア算出処理において算出された当該第１コードブロックに対する前記バックドアスコアと、を出力する出力処理と、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。

【符号の説明】

【0113】

１０ プログラム解析装置
１１ 第１コードブロック抽出部
１２ 第２コードブロック抽出部
１３ 関係情報取得部
１４ バックドアスコア算出部
１５ 出力部
２０ プログラム解析装置
２１ 第１コードブロック抽出部
２２ 第２コードブロック抽出部
２３ 関係情報取得部
２４ バックドアスコア算出部
２５ 出力部
２６ 対象操作テーブル
５０ プログラム解析装置
５１ コードブロック抽出部
５２ バックドアスコア算出部
５３ 出力部
１００ プログラム解析装置
１０１ プロセッサ
１０２ メモリ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】