[发明专利]一种代码静态检测方法

权利要求书

1.一种代码静态检测方法，其特征在于，如下步骤：

(1)获取源代码，并将源代码进行预处理转换为LLVM汇编程序；将源代码进行预处理转换为LLVM汇编程序的具体步骤如下：

(11)调用编译器clang检查源代码是否存在语法错误，如有错误，修改语法错误直到编译器不报错，以得到语法正确的源代码；

(12)将得到的语法正确的源代码利用编译器Clang转化为LLVM汇编程序；

(2)将转换得到的LLVM汇编程序，运用符号执行算法模拟解释执行LLVM汇编程序，并记录各个变量在不同路径上的符号值和各条路径的约束条件；模拟解释执行LLVM汇编程序的具体步骤如下：

(21)调用LLVM基础库，将LLVM汇编程序输入LLVM基础库并转化为文本形式程序的LLVM汇编程序CFG，LLVM基础库返回的CFG中包含的具体对象有全局变量，全局变量对应全局变量对象g，每一个函数LLVM汇编程序对应函数对象F，每个函数对象F包含函数参数p和若干代码块b，而每个代码块又包含多个指令instruction；

(22)对于被分析函数对象，为其引用到全局变量对象、函数参数和内存对象，内存对象是一个四元组，其结构为：

SValue＝(tp×val×ptr×data)∈(llvm::Type*×String×SValue*×(int×SValue*))，

其中SValue是内存对象，用于描述各变量的符号状态，tp、val、ptr和data分别是，tp代表数据的类型，val代表符号值，表示一个字符串的类型为String，ptr代表符号指针值，data是一个数字到符号值指针的映射，用于记录数组类型和结构体，llvm::Type*，String，SValue*，(int×SValue*)分别是对应分量tp、val、ptr、data的数据类型，Llvm::Type是LLVM基础库中的一个描述LLVM汇编程序类型的对象，LLVM::Type*代表该类型对象的指针，String是C++标准库中的字符串对象类型，SValue是内存对象，也称为符号对象，int代表C++基础类型中的整数类型；

系统的初始状态为PT、PTS，首先初始化一个长度为1的根路径PT，将该路径存放到可执行路径PTS中，解释执行的过程类似于一个有限状态机的状态迁移，解释器的状态以PT和PTS进行描述，每解释执行一条指令状态就发生迁移，将初始化好的第一条路径放入PTS中；这些初始化的过程可以表示为如下指令语义模式操作公式：

$\frac{\begin{array}{c}PT.currB=F.firstBlock,PT.\mathrm{var}s\[g=SValue(g.type\left(\right)),\\ p=SValue(p.type\left(\right))\],PT.it=PT.currB.firstInstruction,PTS.add\left(PT\right)\end{array}}{\<PT,PTS\>\left\{init\right\}\→\<PT,PTS\>};$

其中，PT代表当前正在探索的可行路径，PTS代表目前发现的所有未探测的可行路径集合，B代表LLVM汇编程序CFG中的一个代码块，PT.currB代表当前路径正在探索的代码块，F表示当前正在被分析的函数，F.firstBlock代表函数的第一个代码块，PT.vars代表路径上所有的变量，它是一个映射，PT.vars[key＝value]代表的是将键值对(key，value)存入映射vars当中，其中key代表映射的索引，value代表映射的key索引所对应的值，key和value可以被替换为各种值，公式中PT.vars[g＝SValue(g.type()),p＝SValue(p.type())]是PT.vars[g＝SValue(g.type())]和PT.vars[p＝SValue(p.type())]的缩写形式，代表将键值对(g，SValue(g.type()))和(p，SValue(p.type))存入PT.vars中，此处的g和p作为key，SValue(g.type())和SValue(p.type)则作为值value部分，SValue(type)是符号对象的构造函数，它有一个参数type表明符号对象，即表示数据的类型，g代表全局变量，g.type()表示全局变量的类型，p代表函数F的参数，p.type()表示参数的类型，SValue(p.type())代表根据参数p的类型构造内存对象，SValue(g.type())代表根据全局变量g的类型构造内存对象，PT.it代表当前路径所执行到的指令，PT.currB.firstInstruction代表当前路径当前块的第一条指令，PTS.add(PT)将一条路径PT添加到可行路径集合PTS中，init代表这是一个初始化动作，在任何具体指令分析之前应该进行该操作，它不对应任何指令；

(23)判断PTS是否为空，如果PTS不为空，则弹出其中一条路径存放到PT中，并执行步骤(24)；若PTS为空，则模拟执行结束；

(24)若PT路径中的当前执行位置PT.it所指指令为非跳转指令，则执行步骤(25)，否则执行(26)；

(25)根据不同的非跳转指令类型，执行不同的指令语义模式操作公式；

(26)根据不同的跳转指令类型，执行不同的指令语义模式操作公式；

(27)判断步骤(25)或步骤(26)直到发现致命性错误或者PTS为空，否则PT.it++继续执行步骤(23)至步骤(26)；

(3)根据记录各个变量在不同路径上的符号值和各条路径的约束条件，调用SMT求解器Z3检查变量的符号值是否满足路径约束和漏洞约束，判断程序是否存在潜在漏洞。