漏洞挖掘的艺术-面向源码的静态漏洞挖掘

最新推荐文章于 2025-10-24 15:52:58 发布

原创

最新推荐文章于 2025-10-24 15:52:58 发布 · 1.9k 阅读

15 ·

CC 4.0 BY-SA版权

本文介绍了软件漏洞挖掘技术的发展历程和技术分类，重点探讨了静态漏洞挖掘中的源码分析技术，包括基于中间表示的数据流分析、控制流分析、污点分析、符号执行等方法，以及基于逻辑推理的漏洞检测方法。

0x00
软件漏洞的挖掘一直是热门的方向，安全从业者们从一开始的手工挖洞，到后来编写自己的工具实现自动化的漏洞挖掘，再到随着近年来AI的蓬勃发展，开始使用深度学习等技术辅助漏洞挖掘，乃至更进一步使用相关技术实现自动化攻防，如DARPA的CGC大赛等。技术日新月异，让人眼花缭乱，本系列文章希望通过介绍典型的代表性工作（侧重于安全学术界的Big4，即四大顶会上发表的成果），来帮助各位师傅们厘清脉络和相关技术，为之后的学术发展或职业发展给出指引，能找到可以深入挖掘发展的方向。

0x01
按照传统的分类方法，可以分为静态和动态漏洞挖掘技术。
静态漏洞挖掘技术指在不运行目标程序的前提下对目标程序进行分析，这里又可以分为针对源码以及针对二进制程序进行分析其词法、语法、语义等，并通过相关工具获得其AST, CFG, DDG, PDG, CPG等进行辅助分析，来挖掘漏洞。
1.1
AST即抽象语法树（Abstract Syntax Tree，AST），或简称语法树（Syntax tree），是源代码语法结构的一种抽象表示。它以树状的形式表现编程语言的语法结构，树上的每个节点都表示源代码中的一种结构。
当初学习C语言写过的辗转相除法的代码为：

while b ≠ 0

    if a > b

        a := a − b

    else

        b := b − a

return a
对应的抽象语法树为：
在这里插入图片描述

1.2
CFG即控制流图（Control flow graph），是一个过程或程序的抽象表现，是用在编译器中的一个抽象数据结构，由编译器在内部维护，代表了一个程序执行过程中会遍历到的所有路径。它用图的形式表示一个过程内所有基本块执行的可能流向, 也能反映一个过程的实时执行过程。下图是一个包含了if和while语句的CFG
在这里插入图片描述

提到CFG，很多人都会想到CFI（Control Flow Integrity）控制流完整性技术，这是为了抵御控制流劫持攻击而提出的。我们知道早期的攻击会采用代码注入的方式，通过部署一段shellcode，然后将控制转向这段代码执行，为了组织这类攻击，开发了DEP（Data Execution Prevention）机制来限制内存页不能同时具备写和执行权限。攻击者为了突破DEP，来发明了基于代码重用攻击的技术，利用被攻击程序中的代码片段进行拼接形成攻击逻辑，此类技术包括Ret2libc,ROP，JOP等等，并且被证明为图灵完备的。在可计算性理论里，如果一系列操作数据的规则（如指令集、编程语言、细胞自动机）可以用来模拟任何图灵机，那么它是图灵完备的。换句话说，原先的部署shellcode在跳转执行的技术可以做的一切攻击行为，ROP都能做到。
1.3
DDG即数据依赖图（Data flow dependency graph）以最简单的形式表示各个指令之间的数据依赖关系。这样的图中的每个节点代表一条指令，并称为“原子”节点。也可以将它们之间具有简单的def-use依赖关系的某些原子节点组合为包含多指令的较大节点。
以这段为例：
for (int