Vorlesung Modellierung, Analyse, Verifikation Wintersemester 2018/19

Transkript

1 Vorlesung Modellierung, Analyse, Verifikation Wintersemester 2018/19 Prof. Barbara König Barbara König Modellierung, Analyse, Verifikation 1

2 Zwischensprache zwischen Hochsprache (Java) und Maschinensprache Vorteil: Maschinenunabhängigkeit, Geschwindigkeitsvorteil gegenüber Interpretation Ausführung durch Java Virtual Machine (JVM) Objekt-Orientierung ist im Bytecode sichtbar: Klassen, Methodenaufrufe, etc. Problem: Sicherheitslücken Zugriff auf beliebige Stellen des Hauptspeichers, z.b. durch Verwendung von Integers als Objekt-Referenzen Barbara König Modellierung, Analyse, Verifikation 64

3 Klassenhierarchie und Typen Gegeben: Klassenhierarchie Class B Class Class A Class C Jede Klasse besitzt Felder und Methoden Klasse B erbt von A B hat mindestens die Felder und Methoden von A Typen: Integer NullT Class cname Class Menge aller Typen: Ty ganze Zahl Null-Pointer Klasse cname Super-Klasse Es gilt: isref (Integer) = false isref (NullT) = true isref (Class cname) = true isref (Class) = true Barbara König Modellierung, Analyse, Verifikation 65

4 Register und Stack Register: Satz von m lokalen Registern, die Elemente vom Typ Integer, NullT und Class cname enthalten können Stack: Stack mit Länge max, mit Push- und Pop-Operationen Register Stack Typ: Class A NullT... Integer 17 Typ: Integer Null-Pointer nicht initialisiert 8... Objekt der Klasse A NullT Barbara König Modellierung, Analyse, Verifikation 66

5 Befehlssatz (I) Load n: Inhalt des n-ten Registers auf den Stack (Push) Store n: Oberstes Stack-Element in n-tes Register (Pop) AConst Null: Null-Pointer auf Stack legen (Push) IConst i: Integer i auf Stack legen (Push) IAdd: Die zwei obersten Stack-Werte (Typ Integer) addieren und das Ergebnis auf Stack legen Getfield fname ty cname: Referenz auf Objekt der Klasse cname vom Stack nehmen Inhalt des Feld fname vom Typ ty dieses Objekts holen und auf Stack legen. Barbara König Modellierung, Analyse, Verifikation 67

6 Befehlssatz (II) Putfield fname ty cname: Erstes Stack-Element (e) und zweites Stack-Element (Referenz auf ein Objekt der Klasse cname) entfernen Feld fname vom Typ ty dieses Objekts den Wert e zuweisen New cname: Neues Objekt der Klasse cname erzeugen und auf Stack legen (Push). Invoke cname mname ty 1 ty 2 : Erstes Stack-Element (Parameter vom Typ ty 1 ) und zweites Stack-Element (Referenz auf ein Objekt der Klasse cname) entfernen Methode mname dieses Objekts mit dem Parameter aufrufen und Rückgabewert (vom Typ ty 2 ) auf Stack legen Barbara König Modellierung, Analyse, Verifikation 68

7 Befehlssatz (III) CmpEq q: Die obersten beiden Werte vom Stack nehmen und miteinander vergleichen. Bei Gleichheit in Zeile q springen Return: An die Aufrufstelle der Methode zurückkehren Der zuoberst auf dem Stack liegende Wert ist Rückgabewert (vom Typ ty r ) Eine Methode des Bytecode besteht aus einer Liste von Kommandos der Form l: cmd, wobei l (das Label) von 1 bis k läuft. Barbara König Modellierung, Analyse, Verifikation 69

8 Bösartiger Bytecode 1: IConst : IConst 1 3: Putfield f Integer A Die Zahl 1000 wird als Referenz auf eine Objekt der Klasse A angesehen und dadurch an eine Speicherstelle x der Wert 1 geschrieben. Andere Sicherheitslücken: Stack-Überlauf, Addition von Referenzen, etc. Barbara König Modellierung, Analyse, Verifikation 70

9 Idee zur Erkennung von bösartigem Bytecode: Zuordnung von Typen zu Register- und Stack-Inhalten. Die Menge aller Typen bildet einen Verband. Durch wird für jeden Block (jede Programmzeile) ein Typ bestimmt, der den möglichen Register- und Stack-Inhalt an dieser Stelle beschreibt. Mit Hilfe des Typs an dieser Stelle kann man ablesen, ob ein bestimmter Befehl zulässig oder unzulässig ist. Barbara König Modellierung, Analyse, Verifikation 71

10 Verband (I) T = {None, Err} (Ty ({Undef } Ty) m ) Partielle Ordnung (Definition in mehreren Schritten) A c B A ist als Klasse von B abgeleitet ty 1, ty 2 Ty = {Integer, NullT, Class, Class A, Class B,...} ty 1 t ty 2 ty 1 = ty 2 (ty 1 = NullT isref (ty 2 )) (isref (ty 1 ) ty 2 = Class) (ty 1 = Class A ty 2 = Class B A c B) Barbara König Modellierung, Analyse, Verifikation 72

11 Verband (II) Partielle Ordnung auf T = {None, Err} (Ty ({Undef } Ty) m ) None T t für alle t T t T Err für alle t T (st 1, reg 1 ) T (st 2, reg 2 ) st i = [s i 1,..., s i p i ] reg i = [r i 1,..., r i m] p 1 = p 2 1 j p 1 : (sj 1 t sj 2 ) 1 j m : (rj 1 t rj 2 rj 2 = Undef ) für i = 1, 2 Barbara König Modellierung, Analyse, Verifikation 73

12 Komponenten des monotonen Frameworks Labels: Zeilennummern des s Flussrelation F : Für jede Programmzeile der Form l : CmpEq q enthält die Flussrelation die Paare (l, q) und (l, l + 1). Für jede andere Zeile (außer bei Return-Anweisungen) wird das Paar (l, l + 1) hinzugefügt. Extremales Label: 1 (die Nummer der ersten Programmzeile) Initialer Analysewert : ι = ([], [Class C, p, Undef,..., Undef ]) }{{} Länge m wobei C die Klasse des Objekts ist, dessen Methode aufgerufen wird und p der Typ des Eingabeparameters ist. Es fehlen noch: die Transferfunktionen Barbara König Modellierung, Analyse, Verifikation 74

13 Typregeln für den (I) st < max, reg!n Undef (st, reg) Load n st < max (st, reg) AConst Null st > 0 (st, reg) Store n st < max (st, reg) IConst i st = [Integer, Integer] st (st, reg) IAdd st = [ty 0 ] st, ty 0 t Class cname (st, reg) Getfield fname ty cname st = [ty v, ty 0 ] st, ty v t ty, ty 0 t Class cname (st, reg) Putfield fname ty cname Barbara König Modellierung, Analyse, Verifikation 75

14 Typregeln für den (II) st < max (st, reg) New cname st = [ty a, ty 0 ] st, ty 0 t Class cname, ty a t ty 1 (st, reg) Invoke cname mname ty 1 ty 2 st = [ty 1, ty 2 ] st, ty 1 = ty 2 = Integer (isref(ty 1 ) isref(ty 2 )) (st, reg) CmpEq q st = [ty] st, ty t ty r (st, reg) Return Barbara König Modellierung, Analyse, Verifikation 76

15 Transferfunktionen (I) None transfer(cmd, t) f l (t) = Err falls t = None falls t = (st, reg), (st, reg) cmd und block(l) = cmd sonst transfer(load n, (st, reg)) = ([reg!n] st, reg) transfer(store n, (st, reg)) = (rest(st), reg[n first(st)]) transfer(aconst Null, (st, reg)) = ([NullT] st, reg) transfer(iconst i, (st, reg)) = ([Integer] st, reg) transfer(iadd, (st, reg)) = ([Integer] rest 2 (st), reg) Barbara König Modellierung, Analyse, Verifikation 77

16 Transferfunktionen (II) transfer(getfield fname ty cname, (st, reg)) = ([ty] rest(st), reg) transfer(putfield fname ty cname, (st, reg)) = (rest 2 (st), reg) transfer(new cname, (st, reg)) = ([Class cname] st, reg) transfer(invoke cname mname ty 1 ty 2, (st, reg)) = ([ty 2 ] rest 2 (st), reg) transfer(cmpeq q, (st, reg)) = (rest 2 (st), reg) transfer(return, (st, reg)) = (st, reg) Barbara König Modellierung, Analyse, Verifikation 78

17 Beispiel für die Analyse des s Situation: Klassenhierarchie wie oben (Klassen B, C werden von Klasse A abgeleitet) Alle Klassen haben eine Methode m : Integer Class C Klasse C hat ein Feld f : Integer Eine (unbenannte) Methode der Klasse A vom Typ Class B Class C wird aufgerufen. Barbara König Modellierung, Analyse, Verifikation 79

18 Beispiel für die Analyse des s Aufgabe: Durchführen der Analyse des s auf folgendem Code der aufzurufenden Methode: 1: Load 1 2: IConst 1 3: Invoke A m Integer C 4: Store 0 5: Load 0 6: Getfield f Integer C 7: IConst 0 8: CmpEq 1 9: Load 0 10: Return (Nummerierung der Register beginnt bei 0.) Barbara König Modellierung, Analyse, Verifikation 80

19 Fehlermeldungen des s Unvollständige Liste von Fehlermeldungen: Inconsistent stack height Accessing value from uninitialized register Stack size too large Unable to pop operand off an empty stack Expecting to find integer on stack Expecting to find object/array on stack Incompatible type for getting or setting field Wrong return type in function Mismatched stack types Barbara König Modellierung, Analyse, Verifikation 81

20 Korrektheit des s Man kann zeigen: Falls für das Analyseergebnis des s gilt: A (l) Err und A (l) Err für alle vorkommenden Labels l, so hat das analysierte Programm keine Laufzeitfehler. (Siehe auch die Liste der Fehlermeldungen.) Barbara König Modellierung, Analyse, Verifikation 82

21 Stack Map Frames Seit Java 7 (Bytecode-Version 50): Sprungstellen müssen mit den korrekten Stack- und Registertypen annotiert werden. Diese Annotationen heißen Stack Map Frames. Dadurch benötigt der Worklist-Algorithmus nur noch einen Durchlauf. Vorteil: effizientere Verifikation Nachteil: es ist sehr komplex eigenen Bytecode zu schreiben bzw. zu generieren Barbara König Modellierung, Analyse, Verifikation 83