作者 | 甘智杰上海控安可信軟件創(chuàng)新研究院 鑒源實驗室

在軟件開發(fā)的測試與維護(hù)階段，代碼缺陷的早期檢測能顯著降低修復(fù)成本。傳統(tǒng)靜態(tài)檢查工具（如語法規(guī)則匹配）常因缺乏對程序運行邏輯的建模，導(dǎo)致高誤報率或漏檢風(fēng)險。數(shù)據(jù)流分析（Data Flow Analysis, DFA）通過追蹤變量狀態(tài)在程序執(zhí)行路徑中的傳播過程，為精準(zhǔn)識別空指針引用、資源泄漏等隱蔽缺陷提供了系統(tǒng)性解決方案。

01

數(shù)據(jù)流分析的基本原理

1.1 定義與目標(biāo)

數(shù)據(jù)流分析屬于靜態(tài)程序分析的子領(lǐng)域，其核心目標(biāo)是通過抽象程序執(zhí)行時的數(shù)據(jù)狀態(tài)變化，推斷程序中每個可達(dá)點的變量屬性（如是否為空、是否已初始化）。與動態(tài)測試不同，數(shù)據(jù)流分析無需實際運行代碼，即可模擬所有可能的執(zhí)行路徑。

1.2 工作流程

1. 控制流圖（CFG）構(gòu)建：將代碼轉(zhuǎn)換為由基本塊（Basic Block）和跳轉(zhuǎn)邊組成的圖結(jié)構(gòu)，每個基本塊表示一組順序執(zhí)行的語句。

2. 狀態(tài)轉(zhuǎn)移方程定義：針對特定缺陷模式（如空指針），設(shè)計變量狀態(tài)在基本塊間的傳播規(guī)則。

3. 迭代求解：通過定點迭代算法，計算每個程序點的變量狀態(tài)集合。

1.3 基本思想

在實現(xiàn)層面，數(shù)據(jù)流分析往往會在程序各點構(gòu)造約束并迭代求解，通常采用以下思路進(jìn)行構(gòu)建：

1. 抽象程序：將程序劃分為若干基本塊，建立控制流圖；

2. 初始信息：在程序入口點或某些邊界（如函數(shù)入口、出口）賦予初始分析信息（如變量初始狀態(tài)）；

3. 傳遞函數(shù)：在基本塊內(nèi)根據(jù)代碼語義確定如何轉(zhuǎn)移狀態(tài)（例如 x = y + 1 會影響 x 的值域）；

4. 迭代求解：沿著控制流圖迭代傳播，直到各個基本塊的分析信息都趨于穩(wěn)定（不再發(fā)生變化）。

5. 缺陷檢測：對分析結(jié)果進(jìn)行檢查，根據(jù)預(yù)先設(shè)定的規(guī)則或警告條件（如“變量從未初始化卻被使用”），識別可能的缺陷。

02

技術(shù)實現(xiàn)的關(guān)鍵維度

2.1 分析方向

· 正向分析（Forward Analysis）：從程序入口開始，沿控制流方向推導(dǎo)變量狀態(tài)，適用于分析變量初始化問題。

· 逆向分析（Backward Analysis）：從程序出口或特定缺陷點反向推導(dǎo)，常用于檢測未釋放的資源（如文件句柄）。

2.2 敏感度類型

· 流敏感（Flow-Sensitive）：考慮語句執(zhí)行順序?qū)顟B(tài)的影響。

· 路徑敏感（Path-Sensitive）：區(qū)分不同條件分支下的狀態(tài)分支，減少誤報（如對if-else不同分支分別建模）。

· 上下文敏感（Context-Sensitive）：在函數(shù)調(diào)用時區(qū)分不同調(diào)用上下文，避免過程間分析的精度損失。

03

數(shù)據(jù)流分析在代碼缺陷檢查中的應(yīng)用示例

下面通過一個簡化的示例來說明數(shù)據(jù)流分析如何幫助發(fā)現(xiàn)代碼中的缺陷。假設(shè)我們有一個用C語言編寫的函數(shù)，用于處理用戶輸入的字符串并將其拷貝到目標(biāo)緩沖區(qū)中進(jìn)行后續(xù)處理。

3.1 分析目標(biāo)

這段示例代碼中，我們可以通過數(shù)據(jù)流分析發(fā)現(xiàn)以下可能的缺陷或問題：

1. 緩沖區(qū)使用邊界：當(dāng) userInput 的長度大于等于 8 時，是否會發(fā)生溢出？

2. 指針值有效性：userInput 是否可能為空？如若為空則會引起空指針引用。

3. 字符串截斷：在使用 strncpy 后，是否保證了緩沖區(qū)尾部有 '' 終止符？

3.2生成控制流圖并進(jìn)行數(shù)據(jù)流分析

1. 控制流圖劃分

· 基本塊A：聲明 buffer，計算 length；

· 分支判斷：length < BUF_SIZE；

· 基本塊B：執(zhí)行 strcpy(buffer, userInput);；

· 基本塊C：執(zhí)行 strncpy(buffer, userInput, BUF_SIZE - 1); buffer[BUF_SIZE - 1] = '';；

· 基本塊D：打印并返回。

2. 前向分析示例

· 初始信息：假設(shè) userInput 可以來源于任何長度（包括空字符串、過長字符串）以及可能為 NULL。

· 在基本塊A中，length = strlen(userInput) 得到的 length 值域未知，但會與 BUF_SIZE 比較。

· 當(dāng)條件 length < 8 為真時，程序會調(diào)用 strcpy。若 userInput 的長度確實小于8，則 strcpy 是安全的；反之則可能引發(fā)溢出。數(shù)據(jù)流分析可以在此捕獲到“如果輸入長度大于等于8但仍走到這個分支，那么調(diào)用 strcpy 會導(dǎo)致潛在的緩沖區(qū)溢出”。

· 當(dāng)條件 length < 8 為假時，程序會調(diào)用 strncpy 并手動添加 ''。在此路徑中，如果 userInput 恰好是長度8的字符串，strncpy 會將前7個字符拷貝并加上 ''，相對安全。但仍需分析輸入為 NULL 的情況。

3. 發(fā)現(xiàn)缺陷

· 如果在實際代碼邏輯中由于某些復(fù)雜條件或拼接錯誤導(dǎo)致 length 判斷出錯（或者分支條件被其他因素干擾），執(zhí)行了 strcpy，則可能發(fā)生溢出。

· 如果 userInput 為 NULL，調(diào)用 strlen 和后續(xù)函數(shù)也會崩潰。

· 好的實踐應(yīng)當(dāng)在進(jìn)入函數(shù)時先檢查 userInput 是否為 NULL，并在后續(xù)操作時嚴(yán)格確保 length 小于緩沖區(qū)大小或使用更安全的函數(shù)（如 snprintf 等）。

04

挑戰(zhàn)與優(yōu)化方向

4.1精度與效率的權(quán)衡

路徑敏感分析易導(dǎo)致“路徑爆炸”，尤其對包含循環(huán)或遞歸的代碼。工程中常采用摘要（Summary）技術(shù)壓縮重復(fù)計算（如函數(shù)調(diào)用的上下文合并）。

4.2 動態(tài)特性的處理

面對多態(tài)、反射等動態(tài)語言特性，需引入保守假設(shè)（如認(rèn)為反射調(diào)用的對象可能為任意類型），可能導(dǎo)致分析結(jié)果過近似。

4.3 機(jī)器學(xué)習(xí)輔助優(yōu)化

近年研究嘗試使用機(jī)器學(xué)習(xí)預(yù)測關(guān)鍵分析參數(shù)（如循環(huán)迭代次數(shù)上限），或通過模式識別減少冗余計算。例如，F(xiàn)acebook的Infer工具結(jié)合符號執(zhí)行提升路徑敏感的實用性。

05

結(jié) 語

數(shù)據(jù)流分析通過形式化建模程序行為，為代碼缺陷檢查提供了理論嚴(yán)謹(jǐn)?shù)慕鉀Q方案。盡管面臨路徑敏感性和可擴(kuò)展性等挑戰(zhàn)，隨著符號執(zhí)行、AI輔助等技術(shù)的融合，其實用性將持續(xù)增強(qiáng)。

上海控安針對嵌入式軟件安全測試需求，推出集靜態(tài)分析、單元測試、集成測試于一體的軟件智能測試一體化工具——SmartRocket TestGrid 嵌入式軟件自動化測試平臺，支持不同等級的結(jié)構(gòu)化覆蓋測試要求，并對目標(biāo)及環(huán)境進(jìn)行適配。工具遵循GJB8 114、GJB 5369、GJB-Z-141、GJB 438B/C以及GJB 5000等標(biāo)準(zhǔn)。能夠全面覆蓋軟件測試的各個階段，包括測試策劃、測試設(shè)計和實現(xiàn)、測試執(zhí)行以及測試總結(jié)。其靜態(tài)分析功能作為靜態(tài)分析領(lǐng)域的前沿工具，深度融合上下文敏感與路徑敏感的數(shù)據(jù)流分析技術(shù)，在保證執(zhí)行效率的同時顯著提升缺陷檢測精度。通過構(gòu)建跨函數(shù)邊界的變量狀態(tài)傳播模型，TestGrid可精準(zhǔn)識別C/C++語言中由復(fù)雜控制流導(dǎo)致的空指針異常、資源泄漏等問題，助力開發(fā)者快速定位缺陷位置，確保軟件的功能安全。

SmartRocket TestGrid

嵌入式軟件自動化測試平臺

通過運用先進(jìn)的測試技術(shù)和方法，自動化和簡化測試流程，進(jìn)一步保障了軟件開發(fā)過程中的高可靠性、高安全性和高實時性。


審核編輯 黃宇