😇在今年三月实在是感觉自己的身体素质越来越差了，于是开始了跑步之旅，可惜三四五月份实在是身体素质太差了跑不起来，一站到跑道上腿就软了，也没有任何的节奏，第一次跑了几百米心率就190了😭，再加上跑了一次之后腿就痛好几天，所以前三个月就跑了二十几公里，等六月份打完hw回来再跑又是折磨了一遍，不过在这个月已经突飞猛进，这几天一直在跑五公里，不过为了自身健康需要保持130 140心率跑，感觉到了十月份的时候可以六分配跑完五公里了。
七月初买了把saga sf700，不过买之前想着每天弹一下结果现在都没弹😡，等之后有空了弹一哈
来一首 我落泪情绪零碎🥰
前几个月在github开了个项目上传了一部分自己审计过的代码，不过上传的都没什么技术，现在是处于既想摆又想跳槽板一哈的状态所以也懒得更新了。
今日听R&B歌曲 Everyday Feels Like Sunday
https://p1n93r.github.io/post/security/pointeranalysis/
写不出来 过几天再写
过程内的分析未考虑函数调用，导致分析不精确，例如存在如下程序（常量传播，Constant Propagation）
Inraprocedural analysis为了safe-approximation会采用最保守的假设，也就是假设方法调用可以做任何事情，基于这种过于保守的假设，在Inraprocedural analysis下，会认为：
1 | n = NAC x = NAC, y = NAC |
所以需要使用过程间分析：Inter-procedural Analysis，考虑函数调用，又称为全程序分析（Whole Program Analysis），需要构建调用图，加入 Call edges 和 Return edges
本质是调用边的集合，从调用点（call-sites）到目标函数（target methods / callees）的边
越往上，速度越快，但是精度越低，越往下速度越慢，但是精度越高。主要学习的就是CHA和k-CFA算法
在java中的调用类型为三类 其中Virtual Call主要应用于多态，因为多态，其目标方法只能在运行时确定；在Java中，认为除了静态方法、构造方法、私有方法和父类方法，其他的都为Virtual Call
Receiver objects：方法调用对应的实例对象（static方法调用不需要对应实例）
Target methods：表达IR指令到被调用目标方法的映射关系
Num of target methods：call对应的可能被调用的目标方法的数量。Virtual call与动态绑定和多态实现有关，可以对应多个对象下的重写方法。所以Virtual call的可能对象可能超过1个
Determinacy：指什么时候能够确定这个call的对应方法。Virtual call与多态有关，只能在运行时决定调用哪一个具体方法的实现。其他两种call都和多态机制不相关，编译时刻就可以确定
virtual call 在程序运行时才能得到，virtual call 基于2个要素
方法签名由以下部分组成
1 | Signature = class type + method name + descriptor |
用 Dispatch(c, m) 来模拟动态 Method Dispatch 过程，c 表示 receiver object，m 表示函数签名
示例如下：
Require the class hierarchy information (inheritance structure) of the whole program
Resolve a virtual call based on the declared type of receiver variable of the call site
Assume the receiver variable a may point to objects of class A or all subclasses of A（Resolve target methods by looking up the class hierarchy of class A）
对一个 call site 执行 Resolve 方法得到所有可能的 target methods 算法如下
示例如下：
CHA的优势是速度快原因是只考虑call site中receiver variable的declared type和它的继承结构还有忽略数据流和控制流信息
CHA的劣势是精度较低原因是容易引入虚假目标方法和没有使用指针分析
Build call graph for whole program via CHA
Start from entry methods (focus on main method)
For each reachable method 𝑚, resolve target methods for each call site 𝑐𝑠 in 𝑚 via CHA (Resolve(𝑐𝑠))
Repeat until no new method is discovered
从入口方法开始（例如对于Java而言的main方法）对于每一个可达方法m，在方法m中通过CHA算法为每一个call site计算目标方法一直到重复这个过程直到没有新的方法被发现
示例如下：
ICFG = CFGs + call & return edges
Call edges: from call sites to the entry nodes of their callees
Return edges: from exit nodes of the callees to the statementsfollowing their call sites (i.e., return sites)
示例如下：
4种transfer函数
Node transfer
Edge transfer
示例如下：
开局一张图
如图所示一共有三种数据流分析应用分别为reaching definitions、live variables、available expressions、available expressions，不同的数据流分析有不同的 data abstraction和不同的 flow safe-approximation strategies，如不同的 transfer functions 和 control-flow handlings
Data Flow Analysis可以概括为：How Data Flows on CFG，展开来的英文就是 How application-specific Data Flows through the Nodes(BBs/statements) and Edges(control flows) of CFG(a program)？
How application-specific Data :对数据的抽象(data abstraction) e.g:+, -, 0 等
Flows ：根据分析的类型，做出合适的估算
Nodes：数据如何通过转换函数（Transfer functions）进行分析处理
Edges ：Control-flow如何处理，例如两个控制流汇入一个BB
转换函数的约束规则的基本概念，主要分为这两种analysis
控制流约束规则如下
A definition d at program point p reaches a point q
if there is a path from p to q such that d is not “killed” along that path
假定 x 有定值 d (definition)，如果存在一个路径，从紧随 d 的点到达某点 p，并且此路径上面没有 x 的其他定值点，则称 x 的定值 d 可达 (reaching) p。如果在这条路径上有对 x 新的定值，我们说变量 x 的这个定值 d 被杀死 (killed) ，其实就是说给变量v一个定义d，存在一条路径使得程序点p能够到达q，且在这个过程中不能改变v的赋值
应用于检测可能未初始化的变量；例如，在CFG的Entry节点，为所有的变量引入dummy definition（也就是代表未初始化变量的定义），如果dummy定义可到达点p，且定义对应的变量被使用，则这个点可能存在undefined错误；
Data Flow Values/Facts
算法如图：
Transfer Function:
OUT[B]=genB∪(IN[B]−killB) gen 的是新的、definitionkill 的是其他 Basic Block 里定义 v 的 definitions（如对于一条赋值语句 D: v = x op y，该语句生成了 v 的一个定值 D，并杀死程序中其它对变量 v 定义的定值）
Control Flow:
IN[B]=∪P a predecessor of B OUT[P]
一个例子如下：
一个例子运行结果为
Live variables analysis tells whether the value of variable v at program point p could be used along some path in CFG starting at p. If so, v is live at p; otherwise, v is dead at p.
某程序点p处的变量v，从p开始到exit块的CFG中是否有某条路径用到了v，如果用到了v，则v在p点为live，否则为dead。其中有一个隐含条件，在点p和引用点之间不能重定义(redefined)v。
可以应用于寄存器分配，当一个变量不会再被使用，那么此变量就可以从寄存器中腾空，用于新值的存储。
Data Flow Values/Facts
Control Flow：
OUT[B]=∪S a successor of BIN[S]
Transfer Function:
IN[B]=useB∪(OUT[B]−defB) use 是指那些被用到，且用之前在本 basic block 没有被重定义过的变量、def 是指在本 basic block 中重定义的变量
算法如下：
例子如下：
一个例子运行结果为
An expression x op y is available at program point p if all paths from the entry to p must pass through the evaluation of x op y, and after the last evaluation of x op y, there is no redefinition of x or y
程序点p处的表达式x op y可用需满足2个条件，一是从 entry 到 p 点必须经过x op y，二是最后一次使用 x op y 之后，没有重定义操作数 x、y。（如果重定义了 x 或 y，如 x = a op2 b，则原来的表达式 x op y 中的x或y就会被替代）
Transfer Function：
OUT[B]=genB∪(IN[B]−killB) gen：基本块求值 x op y，且之后没有对 x 或 y 赋值、kill：基本块对 x 或 y 赋值，且没有重新计算 x op y（如果重新计算，即使值不一样，也属于 gen)
Control Flow:
IN[B]=∩P a predecessor of BOUT[P]
算法如下：
运行实例如下：
想学静态分析已经很久了但是一直没有系统的学习过，中间看过asm字节码技术、gadgetinspector、tabby、codeql的原理分析但依然对于静态分析不了解，最近感觉也快离开学校了想在离开学校之前学会这个技术
编译器将source code 转换为machine code 其中流程图如下图所示
看上图得知在translator层将decorated AST 翻译为生成三地址码这样的中间表示形式(Intermediate Representation)并对其做静态分析，也就是说静态分析基于IR，通常IR的表现形式为三地址码（3AC，Three-Adress Code），静态程序分析通常会将IR转换为CFG（Controll Flow Graph）进行下一步分析
3AC是一种IR，在每个指令的右边至多有一个操作符，每一语句最多有三个“地址”，地址可以是名称，变量，常量（编译器生成的临时变量 Compiler-generated Temporary: t1, t2）
常见的3AC如下
x = y bop z：双目运算并赋值，bop = binary operator
x = uop z：单目运算并赋值，uop = unary operator
x = y：直接赋值
goto L：无条件跳转，L = label
if x goto L：条件跳转
if x rop y goto L：包含了关系运算的条件跳转，rop = relational operator
在soot中的3AC如下
@parameter：函数参数$x：临时变量<method signature>：类+返回值类型+方法名+函数参数类型<init>：构造函数<clinit>：类初始化函数（静态变量初始化等）invokespecial：调用构造函数、父类方法、私有方法invokevirtual：实例方法调用（virtual dispatch）invokeinterface：不能优化、调用接口、检查接口实现invokestatic：调用静态方法invokedynamic：运行其他动态语言静态单赋值（SSA），就是让每次对变量x赋值都重新使用一个新的变量xi，并在后续使用中选择最新的变量传递到接下来的使用当中，每个变量有唯一的定义，优点是但缺点也很明显，就是因为会引入过多的变量还有phi function，优点也是因为变量唯一而唯一的变量名可以间接体现程序流信息，简化分析过程
1 | 3AC | SSA |
basic blocks是一个最长的语句序列，并保证入口只能在最开始指令且出口只能在最后一个指令，实际操作为将程序的若干个三地址码分为几个basic blocks,每个bb都满足上图的要求，下面将程序标注为p 如何去构建这些bb的算法为
INPUT: A sequence of three-address instructions of P
OUTPUT: A list of basic blocks of P
METHOD:
(1) Determine the leaders in P
(2)build bb :A BB consists of a leader and all its subsequent instructions until the next leader
Control Flow Graphs的主体就是basic blocks，我们对basic blocks添加块到块的边，添加的规则是块 A 和块 B 之间有一条边，
1、基本块A的结尾有跳转指令跳转到基本块B
2、原始指令序列中，B紧跟着A，且A的结尾不是无条件跳转。
除了这两个添加规则以外，我们还需要添加两个额外的节点entry和exit，所以刚才图片构成的bb画成cfg图应该如下图所示
<<<<<<< HEAD
=======
81841d6924b6b29513f63a397204312cda445246
人生可以慢半拍
typora的图片传不上来 于是直接转成图片放上来
需要了解漏洞要点的文章链接
https://blog.csdn.net/weixin_44141495/article/details/110160186
https://cloud.spring.io/spring-cloud-gateway/multi/multi__actuator_api.html
https://www.cnblogs.com/liukaifeng/p/10055867.html
https://github.com/vulhub/vulhub/blob/master/spring/CVE-2022-22947/README.zh-cn.md
https://juejin.cn/post/7021720843898060807
