软件相似性鉴定实施规范（2014）

软件相似性鉴定技术规范（2023）

SF/Z JD0403001-2014

SF/T 0158—2023

1范围  

本技术规范规定了软件相似性检验的技术方法和步骤。

本技术规范适用于在电子数据检验鉴定工作中的软件的相似性检验。

1范围 

本文件规定了软件相似性鉴定的总体要求以及仪器设备、鉴定步骤、鉴定记录和鉴定意见的要求。

本文件适用于司法鉴定领域中对软件相似性的鉴定。

新增

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 11457 信息技术 软件工程术语

GB/T 29361 法庭科学 电子数据文件一致性检验规程

SF/T 0105 存储介质数据镜像技术规程

SF/T 0157 移动终端电子数据鉴定技术规范

2术语与定义

3术语与定义 

GB/T 11457、GB/T 29361、SF/T 0157界定的以及下列术语和定义适用于本文件。

2.1 检材 software for examination

电子数据检验鉴定中需检验的软件。

3.1检材 questioned software/code for examination

电子数据检验鉴定中需检验的软件的程序、代码或开发测试文档等。

注：通常为涉嫌侵权的软件。

2.2样本 software for comparison

电子数据检验鉴定中用于同检材进行比对检验的软件。

3.2样本 known software/code for comparison

电子数据检验鉴定中用于同检材（3.1）进行比对检验的软件的程序、代码或开发测试文档。

注：通常为被侵权的软件。

2.3数字化设备 digital device

存储、处理和传输二进制数据的设备，包括计算机、通信设备、网络设备、电子数据存储设备等。

删除

2.4源代码 source code

未经编译的、按照一定的程序设计语言规范书写的、人类可读的计算机指令语言指令。

删除

2.5目标程序 object code

编译器或汇编器处理源代码后所生成的、可被直接被计算机运行的机器码集合。

删除

2.6 运行环境 runtime environment

一种把执行码在目标机器上运行的环境。

删除

2.7哈希值 hash value

使用安全的哈希算法对数据进行计算获得的数据。常用哈希算法包括MD5、SHA1和SHA256等。

删除

2.8反编译 decompile

将已编译的程序文件还原成汇编或者高级语言代码的过程。

删除

新增

3.3数字水印 digital watermark

一种运用计算机算法嵌入载体文件的保护信息。

【来源：GB/T 36303—2018，3.1】

新增

3.4非原创文件 non-original file

不享有著作权的程序文件。

示例：公共程序库文件、第三方库文件和基于开源许可证的文件等。

3仪器设备

4仪器设备

3.1硬件

电子数据存储设备、保全备份设备、检验设备。

4.1硬件

鉴定所用仪器设备硬件宜包括但不限于：

a) 电子数据鉴定工作站；

b) 数码照相机；

c) 数码摄像机；

d) 存储介质只读设备；

e) 存储介质复制设备。

3.2软件

送检软件所需的运行环境、文件比对工具、反编译工具、源代码分析工具等。

4.2软件

鉴定所用仪器设备软件宜包括但不限于：

a) 完整性校验值计算软件；

b) 电子数据相似性比较软件；

c) 安装程序解包软件；

d) 计算机/移动终端系统仿真软件；

e) 网络数据包分析软件；

f) 反汇编分析软件；

g) 应用程序功能分析软件；

h) 数据库分析软件。

新增

5 总体要求

新增

5.1 排除非原创：如检材和样本包含非原创文件/内容，软件的相似性比对宜包含排除非原创文件/内容后的比对检验。

新增

5.2 对等比对：检材和样本应在对等形态下进行比对检验，如源程序与源程序进行比对、目标程序与目标程序进行比对、文档与文档进行比对、数据库与数据库进行比对。如果检材与样本形态不一致，则应通过编译或者反汇编等手段转换一致后进行比对。

新增

5.3 考虑差异：比对过程宜充分考虑名称（如文件名、变量名和函数名等）、语法（如空行、空格和字符大小写等）、注释、顺序以及编译器等差异造成的影响。

新增

5.4 操作可追溯：与鉴定有关的情况应及时、客观、全面地记录，对于不可再现情况录像记录，应确保鉴定过程和结果的可追溯性。

4检验步骤

6.鉴定步骤

4.1 记录检材和样本情况

4.1.1  对送检的检材/样本进行唯一性编号，编号方法为XXXX(年度)-XXX(受理号)-XX(流水号)，如 2012-39-2 表示 2012 年受理的编号 39 案件的第 2 个检材。

4.1.2  对检材/样本为数字化设备的，对数字化设备进行拍照，并记录其特征。

6.1记录检材/样本的情况

根据检材/样本的载体类型,应选择以下适当方式进行记录。

a)载体为实物:对检材/样本的实物载体进行唯一性编号后拍照或录像,并记录其类别、品牌型号、唯一性编号、性状等。

b)载体位于网络:记录检材/样本的下载网址、远程访问的账号及口令等信息。必要时,通过网络数据包监测,分析检材/样本的下载来源。

4.2 检材和样本的保全备份

对具备保全条件的检材和样本进行保全备份，并计算保全备份的副本或镜像的哈希值。

6.2提取固定检材/样本

6.2.1根据检材/样本的载体类型,应选择以下适当方式进行数据提取。

a)载体为具备复制条件的数字化设备:按照SF/T0105的规定制作镜像并核对对其完整性校验值,然后采用只读方式对该镜像进行检材/样本的数据提取。

b)载体为不具备复制条件的电子设备(非移动终端):使用录像或者录屏的方式记录检材/样本的数据提取过程。

c）载体为移动终端:按照SF/T0157的规定对检材/样本进行数据提取。

d)载体为网络:使用录像或者录屏的方式记录检材/样本的数据提取过程,并从可信时间源获取并记录开始时间和结束时间。

6.2.2

对提取的检材/样本应计算完整性校验值。

注:对于使用录像或者录屏的方式记录检材/样本的数据提取过程的,录像或录屏包含检材/样本的完整性校验值的计算过程。

4.3 检验项目的选择

分析检材和样本，根据检材和样本的内容选择以下一项或多项内容进行检验:

a) 源代码间的比对；

b) 目标程序间的比对；

c) 源代码和目标程序间的比对；

d) 文档的比对（如适用）；

e) 文档和源代码/目标程序间的比对。

注：文档包括开发文档、需求说明书、总体设计方案、详细设计方案等。

6.3相似性比对分析

6.3.1相似性比对

6.3.1.1

基本要求

审查检材和样本的类型,选择合适的鉴定项目进行比对,常见的的比对项目应包括但不限于:

a)源程序的比对;

b)目标程序的比对;

c)源程序和目标程序的比对;

d)开发测试文档的比对;

e)开发测试文档和源程序/目标程序的比对。

4.4 程序的比对检验

4.4.1 要求

对检材和样本进行比对检验时，需先排除影响比对的内容（如公共程序库文件、第三方库文件和GNU通用公共许可的程序等）。

4.4.2 源代码间的比对

对检材和样本的源代码的目录结构、文件名、文件内容、变量、函数、宏定义等进行比对检验。检验时，应排除自定义的文件名、变量名、函数名等名称被修改的影响，对程序逻辑与结构等内容进行比对检验。

6.3.1.2源程序的比对

应按照GB/T29361的规定分别对检材和样本中的源程序进行比对检验。若所有对应文件的完整性\校验值相同,则软件相同:若对应文件的完整性校验值不同或存在无法去对应的文件,则宜在排除非原创的内容后,对检材和样本的源程序的目录结构、文件名、文件内容、变量、函数和宏定义等分别进行比对检验。

4.4.3 目标程序间的比对

分别对检材和样本中的目标程序文件计算哈希值。若所有对应文件的哈希值相同，则软件相同。若对应文件的哈希值不相同，按下列步骤进行：

a) 安装程序检验（如适用），对检材和样本的安装程序进行下列比对检验：

 1）目录结构及目录名；

 2）各组成文件的文件名、文件哈希值、文件内容、文件结构和文件属性等。

b) 安装过程检验（如适用）

分别运行检材和样本的安装程序，观察安装过程的屏幕显示、软件信息、使用功能键后的屏幕显示以及安装步骤，并进行比对检验。

c)安装后的程序检验，对安装成功的检材和样本的程序进行下列比对检验：

1）安装后产生的目录结构及目录名；

2）安装后产生的文件的文件名、文件哈希值、文件内容、文件结构和文件属性等；

3）安装后的软件的配置过程和运行方式。

d）程序的使用过程检验：运行该程序，对使用过程中的屏幕显示、功能、功能键和使用方法等进行比对检验。

e) 核心程序的逆向分析：必要时，对目标程序的核心程序进行反编译，对反编译后的代码进行比对检验。

4.4.4  源代码和目标程序间的比对

将源代码编译成目标程序后再进行比对检验，检验过程按照目标程序间的比对进行。

注：源代码编译过程中，由于编译软件、编译环境等不同，相同的源代码每次编译产生的文件可能会有差异。

4.5 文档的比对

对检材和样本的文档的目录结构、内容以及属性进行比对。

6.3.1.3目标程序的比对

应按照GB/T29361的规定分别对检材和样本中的目标程序进行比对检验。若检材与样本程序文件相同,则软件相同:若检材与样本程序文件存在不同或存在无法对应的文化牛,则根据检材与样本的实际情况,选择以下1项或多项进行。

a)安装程序检验:对检材和样本的安装程序(或解包后)的目录结构、目录名和各组成文件的文件名、文件完整性校验值、文件内容、文件结构、文件属性和文件签名信息等进行比对检验。

b)安装过程检验:在相同环境下,分别隔离运行检材和样本的安装程序,对安装过程的屏幕显示软件信息、安装选项和安装步骤进行比对检验,必要时也可对安装过程中的网络访问情况和调用程序库等进行检验和比对。

c)安装后的程序检验:对安装成功的检材和样本的程序进行以下比对检验:

1)安装后产生的目录结构及目录名;

2)安装后产生的文件的文件名、文件完整性校验值、文件内容、文件结构和文件属性等;

3)安装后注册表的变动;

4)安装过程中产生的临时文件;

5)安装后软件的配置过程和运行方式;

6)软件使用过程中的屏幕显示、功能、功能键和使用方法等；

7)软件卸载过程中的屏幕显示和功能键等;

8)卸载后软件的残留文件；

9)卸载后注册表的变动;

10)程序逆向分析:目标程序如具有防检测分析的保护,如加壳和加密等情况,可根据需要先去除保护,再对目标程序进行反汇编,对反汇编后的代码应按照6.3.1.2的规定进行比对检验。

6.3.1.4源程序和目标程序的比对

将源程序编译成目标程序后,应按6.3.1.3的规定进行比对检验或将目标程序进行反汇编后,按照6.3.1.2的规定进行比对。若目标程序具有防检测分析的保护,如加壳和加密等情况,可根据需要去除保护,再对目标程序进行反汇编。对于源程序编译过程中,由于编译软件和编译环境等不同而导致的文件差异,应进行记录。

6.3.1.5开发测试文档的比对

应对检材和样本中的开发文档、需求说明书、设计方案、操作手册、开发手册和测试手册等相关文档的文本内容、流程图和属性信息等进行比对检验。对于包含文字的非文本形式的文档(如扫描文档),可进行文字识别并验证后进行比对检验。对于包含图片等多媒体数据的文档,应对多媒体的元数据和内容等进行比对检验。

6.3.1.6源程序/目标程序和开发测试文档的比对

应对检材和样本中源程序/目标程序的作者/开发者和代码等信息与检材和样本中开发文档、需求说明书、设计方案、操作手册、开发手册和测试手册等相关文档进行比对检验。

新增

6.3.2相似性分析

6.3.2.1 总体分析

软件相似性鉴定中应了解与鉴定有关的情况,并对检材和样本整体相似情况进行分析,包括文件数量、文件类型、文件大小、文件中的代码行数和非原创文件等信息。

6.3.2.2特有内容分析

对于检材中出现的与样本中相同或相似的软件署名(包括开发者和所属单位)、数字水印、注释、废程序段和特异性错误等,应分析记录并在鉴定意见中体现。

新增

6.3.2.3资源文件分析

对于包含资源文件的检材和样本,应根据资源文件情况,采用以下适当当方式进行相似性分析:

a)对于图标、图片和音视频等外部资源文件,按照GB/T 29361的规定进行比对检验

b)对于包含图标、图片和音视频等资源文件的压缩文件,可释放资源文件后,按照GB/T 29361的规定进行比对检验。

新增

6.3.2.4 结构分析

对于包含2层及以上目录结构的检材和样本,应分析其目录结构及文件分布的相似性。

新增

6.3.2.5代码分析

对于包含代码文件的检材和样本,应重点关注特有内容、代码执行逻辑马结构等内容,并采用以下适当方式进行相似性分析:

a）对于空行、缩进和字符大小写等不影响程序执行的语法差异应予以排除或视为为相同,排除或视为相同的规则应在鉴定记录中体现;

b)对于注释内容宜分别进行排除前和排除后的相似性分析,排除规则应在鉴定记录中体现;

c)对于文件名、变量名和函数名等不影响程序执行的名称差异可采用适当的规则进行替换,替换规则应在鉴定记录中体现;

d)对于不影响程序执行的代码行或代码块的位置差异可采用适当的规则进行对齐,对齐规则应在鉴定记录中体现;

e)对于以文本行方式比对的代码,可按对应顺序合并文件后进行代码行比对,合并顺序应在鉴定记录中体现。

新增

6.3.2.6数据库分析

对于包含数据库的检材和样本,可将数据库转储为sql脚本代码,分析数据库的库名、数据表名称、结构及数据、视图名称及定义、存储过程以及触发器等项目的相似性。

对于安装后预置了数据库数据的检材和样本,应重点比较预置数据的相似性。

新增

6.3.2.7其他内容分析

对于检材中与样本中其他相同或相似的内容,如执行流程图、测试用例、通讯端口情况和调试日志输出等,应分析并记录,必要时在鉴定意见中体现。

新增

6.3.3 相似比例计算

6.3.3.1结构相似比例的计算

6.3.3.1.1 以样本作为参考对象的结构相似比例计算公式见式（1）。

SSK  =  × 100% ……（1）

式中：

SSk − −以样本作为参考对象的结构相似比例；

Fc − −包含文件夹结构比对后的同名文件数量；

Fk − −样本的文件数量。

新增

6.3.3.1.2  以检材作为参考对象的结构相似比例计算公式见式（2）。

ssq = ×   100% ………（2）

式中：

ssq − −以检材作为参考对象的结构相似比例；

Fc − −包含文件夹结构比对后的同名文件数量；

Fq  − −检材的文件数量。

新增

6.3.3.2  文件相似比例

6.3.3.2.1  总体文件相似比例

6.3.3.2.1.1  以样本作为参考对象的总体文件相似比例计算公式见式（3）。

FSk  = × 100% ……（3）

式中：

FSk − −以样本作为参考对象的总体文件相似比例；

Dc  − −完整性校验值相同的文件数量；

Fk  − −样本的文件数量。

6.3.3.2.1.2  以检材作为参考对象的总体文件相似比例计算公式见式（4）。

Fsq  =× 100% …………（4）

式中：

Fsq − −以检材作为参考对象的总体文件相似比例；

Dc − −完整性校验值相同的文件数量；

Fq − −检材的文件数量。

新增

6.3.3.2.2  排除非原创文件后的文件相似比例

6.3.3.2.2.1  以样本作为参考对象的排除非原创文件后的文件相似比例计算公式见式（5）。

FSkn  =  × 100% ………（5）

式中：

FSkn − −以样本作为参考对象的排除非原创文件后的文件相似比例；

Dc  − −完整性校验值相同的文件数量；

Dnc − −完整性校验值相同的非原创文件数量；

Fk  − −样本的文件数量；

Fkn  − −样本的非原创文件数量。

6.3.3.2.2.2  以检材作为参考对象的排除非原创文件后的文件相似比例计算公式见式（6）。

FSqn  = × 100% ………（6）

式中：

FSqn− −以检材作为参考对象的排除非原创文件后的文件相似比例；

Dc - -完整性校验值相同的文件数量;

Dnc− −完整性校验值相同的非原创文件数量;

Fq− −检材的文件数量;

Fqn− −检材的非原创文件数量。

新增

6.3.3.3  代码相似比例

6.3.3.3.1  代码总体相似比例

6.3.3.3.1.1  以样本作为参考对象的代码总体相似比例计算公式见式（7）。

CSk =  × 100% ………（7）

式中：

CSk − −以样本作为参考对象的代码总体相似比例；

Cc − −代码相同行数；

Ck  − −样本代码总行数。

6.3.3.3.1.2  以检材作为参考对象的代码总体相似比例计算公式见式（8）。

CSq  = × 100%  ………（8）

式中：

CSq − −以检材作为参考对象的代码总体相似比例；

Cc  − −代码相同行数；

Cq  − −检材代码总行数。

注：对于空行、空格和字符大小写差异视为相同。

新增

6.3.3.3.2  排除非原创内容后的代码相似比例

6.3.3.3.2.1  以样本作为参考对象的排除非原创内容后的代码相似比例计算公式见式（9）。

CSkn=   × 100% …………（9）

式中：

CSkn − −以样本作为参考对象的排除非原创文件后的代码相似比例；

Cc  − −代码相同行数；

Cnc − −代码中非原创内容相同行数；

Ck  − −样本代码总行数；

Ckn  − −样本代码中非原创内容行数。

6.3.3.3.2.2  以检材作为参考对象的排除非原创内容后的代码相似比例计算公式见式（10）。

CSqn = × 100% ……（10）

式中：

CSqn− −以检材作为参考对象的排除非原创文件后的代码相似比例；

Cc  − −代码相同行数；

Cnc − −代码中非原创内容相同行数；

Cq  − −检材代码总行数；

Cqn − −检材代码中非原创内容相同行数。 

注：空行或仅有空白字符的行从行数中排除，仅存在多余空白字符、字符大小写差异， 或其他不影响程序执行的名 称或位置差异的行视为相同。

新增

6.3.3.3.3  排除非原创内容及注释后的代码相似比例

6.3.3.3.3.1  以样本作为参考对象的排除非原创内容及注释后的代码相似比例计算公式见式（11）。

CSkna  = × 100% ……（11）

式中：

CSkna − −以样本作为参考对象的排除非原创内容及注释后的代码相似比例；

Cc − −代码相同行数；

Cnc − −代码中非原创内容相同行数；

Ca   − −注释行；

Ck − −样本代码总行数；

Ckn − −样本代码中非原创内容行数。

6.3.3.3.3.2  以检材作为参考对象的排除非原创内容及注释后的代码相似比例计算公式见式（12）。

..........

（ 12）

式中：

CSqna  − −以检材作为参考对象的排除非原创内容及注释后的代码相似比例；

Cc − −代码相同行数；

Cnc    − −代码中非原创内容相同行数；

Ca  − −注释行；

Cq   − −检材代码总行数；

Cqn − −检材代码中非原创内容相同行数。

注：对于空行、空格、字符大小写、不影响程序执行的名称差异和位置差异等视为相同。

5  检验记录

5.1  与鉴定活动有关的情况应及时、客观、全面地记录，保证鉴定过程和结果的可追溯性。

7 鉴定记录

7.1基本要求

与检验有关的情况应及时、客观和全面地记录,保证检验过程星和结果的可追溯性。

5.2  对于检材/样本为数字化设备的，应记录：

a)  检材/样本的类别；

b)  检材/样本的型号；

c)  检材/样本出厂时的唯一性编号（如适用）；

d)  检材/样本的固件版本号（如适用）；

e)  检材/样本中软件的名称、版本等属性信息（如适用）；

f)  检材/样本的照片。

5.3  对于检材/样本为独立于数字化设备的软件的，应记录：

a)  软件的名称、版本、大小等属性信息；

b)  软件的哈希值；

c)  软件的运行环境。

5.4  对于检验的结果，应记录：

a)  检材与样本的相同部分，如目录结构、目录名、文件、文件名、文件内容等；

b)  检材与样本的相似部分，如安装或使用过程中的屏幕显示等；

7.2检材/样本信息

对于检材/样本,宜记录以下信息:

a)软件的来源,如载体电子设备的类别、品牌型号、唯一性编号、性状或下载网址、远程访问的账号及口令等;

b)软件载体或所处环境的照片;

c)软件的名称、版本和大小等属性信息;

d)软件的数字水印信息或签名信息;

e)软件的完整性校验值;

f)软件的运行环境;

g)附属信息,如账号、密码等。

7.3提取固定过程

对于检材/样本的提取固定过程,应记录以下信息:

a）提取固定过程中所使用的仪器设备信息;

b)远程提取的开始和结束时间(如适用);

c)提取固定结果的文件名和完整性校验值;

d)固定过程录像文件的文件名和完整性校验值(如适用)。

7.4检验过程

对于检材/样本的相似性检验过程,应记录以下信息:

a)检材与样本在比较前的预处理过程;

b)检材与样本的相同及相似部分;

c)6.3.2.2中检出的特有内容;

d)6.3.2.5中的处理规则;

e)6.3.2.7中检出的其他内容;

f)相似比例的计算过程。

6  检验结果

6.1  列出检材与样本的相似比例，并对存在相同或相似的部分进行说明。

6.2  若检材与样本中存在软件署名、开发者的姓名、单位、废程序段、独特的代码序列等相同时，需在检验结果中单独列出。

8 鉴定意见

8.1 鉴定意见分类

软件相似性鉴定意见应分为以下四种:

a)软件相同;

b)软件相似;

c)软件不相似;

d)无法判断。

8.2鉴定意见判断依据及表述

8.2.1软件相同

判断依据:检材与样本(安装文件、代码文件和各组成文件等等)使用GB/T29361比较结果相同。

鉴定意见表述为:检材与样本(列出对应的文件)相同。

8.2.2 软件相似

判断依据:检材与样本中存在部分文件的完整性校验值相同或或文件的内容存在相同部分。

鉴定意见表述为:检材与样本相似,并列出相似比例。

附加要求如下:

a)应分别列出以检材为参考对象和以样本为参考对象时,检材与样本的相似比例；

b)如检材与样本包含多种文件类型,可分别列出各类型文件的相似比例；

c)对检材与样本中存在相同或相似的部分应进行说明；

d)不宜出现"实质性相似"表述。

8.2.3软件不相似

判断依据:检材与样本中不存在完整性校验值相同的文件且文件内容不存在相同部分。

鉴定意见表述为:检材与样本不相似。

8.2.4无法判断

判断依据:检材与样本不具备检验条件,或在进行了充分的检验后仍无法判断是否相似。

鉴定意见表述为:无法判断检材与样本是否相似。

新增

参考文献

[1]  GB/T 29360—2023  法庭科学 电子数据恢复检验规程

[2]  GB/T 36303—2018  印刷数字水印

[3]  GA/T 756—2021  法庭科学  电子数据收集提取技术规范

[4]  GA/T 976—2012  电子数据法庭科学鉴定通用方法

[5]  GA/T 1175—2014  软件相似性检验技术方法

[6]  SF/Z JD0400001—2014  电子数据司法鉴定通用实施规范

7  附则

7.1  对检验用的软件工具的适用性应进行适当确认。

7.2  在检验过程中，检出的数据应存储在专用的存储介质中并妥善保管。

7.3  对送检的检材和样本要做好防震、防水、防磁、防静电等保护。

删除