当前位置： 首页 > news >正文

【静态分析】在springboot使用太阿（Tai-e）01

news 来源：原创 2024/7/1 2:18:25

参考：使用太阿（Tai-e）进行静态代码安全分析（spring-boot篇一） - 先知社区

----------------------------------------------------------------------

 由于spring-boot实现了控制反转与面向切面编程的设计思想，使得程序并非顺序执行，因此很难通过程序入口来顺序分析所有代码。本篇文章旨在从0开始，利用Tai-e来分析spring-boot程序，解决控制反转的问题。

1. 从0开始配置tai-e并加载java-sec-code

1.1 下载tai-e代码

创建文件夹并进入

git clone https://github.com/pascal-lab/Tai-e.git

git init

git submodule update --init --recursive

1.2 IDEA配置tai-e

其实就是按照官方文档进行配置IDEA
在打开tai-e程序后等待一会

Tai-e加载完之后

设置

File->Project Structure，将SDK与Language level设置为17

File->Settings

然后将Build and run using与Run tests using改为idea

1.3 编译java-sec-code

下载java-sec-code源码

git clone https://github.com/JoyChou93/java-sec-code.git

cd java-sec-code

mvn clean package -X

注意：若出现'mvn'不是内部或外部命令，也不是可运行的程序或批处理文件。

则首先确认自己是否安装了maven

若已经安装，则

  • 添加Maven到环境变量：

    • 打开系统的环境变量设置，找到Path变量，确保Maven的bin目录路径已经添加到Path变量中。

  • 重新打开命令行执行

等待

看到Build success代表编译成功

1.4 配置tai-e加载java-sec-code

首先创建common目录和options和taint-config文件。作为我们自己的配置

options文件内容，注意需要修改appClassPath也就是我们刚才编译的java-sec-code的target。

optionsFile: null
printHelp: false
classPath: []
appClassPath:- D:\software\java-sec-code\java-sec-code\target\classes
mainClass:
inputClasses: []
javaVersion: 8
prependJVM: false
allowPhantom: true
worldBuilderClass: pascal.taie.frontend.soot.SootWorldBuilder
outputDir: output
preBuildIR: false
worldCacheMode: true
scope: REACHABLE
nativeModel: true
planFile: null
analyses:#  ir-dumper: ;pta: cs:ci;implicit-entries:true;distinguish-string-constants:null;reflection-inference:solar;merge-string-objects:false;merge-string-builders:false;merge-exception-objects:false;taint-config:config/common/taint-config.yml;
onlyGenPlan: false
keepResult:- $KEEP-ALL

taint-config文件内容，这个文件暂时不需要修改，就是加了一个sources和sinks点以及transfers。

sources:
#  - { kind: param, method: "<org.joychou.controller.SQLI: java.lang.String jdbc_sqli_sec(java.lang.String)>", index: 0}- { kind: param, method: "<org.joychou.controller.SQLI: java.lang.String jdbc_sqli_vul(java.lang.String)>", index: 0}
#  - { kind: param, method: "<org.joychou.controller.SpEL: void main(java.lang.String[])>", index: 0}
#  - {kind: param, method: "<org.joychou.controller.Rce: java.lang.String CommandExec(java.lang.String)>",index: 0}
sinks:## SQLI- { vuln: "SQL Injection", level: 4, method: "<java.sql.Statement: java.sql.ResultSet executeQuery(java.lang.String)>", index: 0 }- { vuln: "SQL Injection", level: 4, method: "<java.sql.Connection: java.sql.PreparedStatement prepareStatement(java.lang.String)>", index: 0 }
transfers:- { method: "<java.lang.String: java.lang.String concat(java.lang.String)>", from: base, to: result }- { method: "<java.lang.String: java.lang.String concat(java.lang.String)>", from: 0, to: result }- { method: "<java.lang.String: char[] toCharArray()>", from: base, to: result }- { method: "<java.lang.String: void <init>(char[])>", from: 0, to: base }- { method: "<java.lang.String: void getChars(int,int,char[],int)>", from: base, to: 2 }- { method: "<java.lang.String: java.lang.String format(java.lang.String,java.lang.Object[])>", from: "1[*]", to: result }- { method: "<java.lang.StringBuffer: void <init>(java.lang.String)>", from: 0, to: base }- { method: "<java.lang.StringBuffer: java.lang.StringBuffer append(java.lang.String)>", from: 0, to: base }- { method: "<java.lang.StringBuffer: java.lang.StringBuffer append(java.lang.String)>", from: 0, to: result }- { method: "<java.lang.StringBuffer: java.lang.StringBuffer append(java.lang.String)>", from: base, to: result }- { method: "<java.lang.StringBuffer: java.lang.String toString()>", from: base, to: result }- { method: "<java.lang.StringBuilder: void <init>(java.lang.String)>", from: 0, to: base }- { method: "<java.lang.StringBuilder: java.lang.StringBuilder append(java.lang.String)>", from: 0, to: base }- { method: "<java.lang.StringBuilder: java.lang.StringBuilder append(java.lang.String)>", from: 0, to: result }- { method: "<java.lang.StringBuilder: java.lang.StringBuilder append(java.lang.String)>", from: base, to: result }- { method: "<java.lang.StringBuilder: java.lang.String toString()>", from: base, to: result }call-site-mode: true

配置Main函数参数

现在可以运行了，但是你会发现没有taint-flow的结果。
主要的问题是tai-e的taint-analysis是基于pointer-anysis的。而pointer-analysis的分析是基于worklist，这个worklist如果是java se程序初始化就是main函数，可以通过main函数进行分析，进行函数调用处理，从而reach到需要分析的函数。由于我们的是springboot程序包含依赖注入和控制反转等，所以从springboot的入口tai-e没办法分析到我们的controller函数，所以pointer-anlaysis的结果也就是空的，导致taint-anlaysis结果也是空的。

经过分析发现tai-e分析SpringBoot项目存在2个问题。
1. 缺少entrypoint，因为pointerAnalysis分析没办法reach到我们需要分析的controller方法。
2. 缺少source，我们暂时没有办法通过yml将所有Mapping注解的parameters加入sources,我们上边yml仅加入了一个source。
需要解决以上两个问题，才能进行基础的分析。

2. 关键源码分析及实现

2.1 PointerAnaysis分析及入口点添加

由于tai-e的插件是集成在PointerAnalysis，包括污点分析也是，也就是说PointerAnalysis就是这些分析的核心。所以在写如何编写插件前我们先大概分析一下PointerAnlaysis的执行流程。

2.1.1 PointerAnaysis执行流程

我们先看PointerAnalysis 的runAnalysis方法，这个其实不算是入口点，analyze才是，但是analyze仅根据配置然后调用runAnalysis，所以我们直接分析这个就好。

DefalutSolver实现指针分析以及插件的调用，并返回指针分析的结果(core)。

Plugin即一个插件，可以通过编写插件的方式，在进行指针分析的过程中执行我们想要的操作(污点分析也是类似的操作)。

接下来看一下setPlugin方法，目前先不用修改它。

接下来分析DefaultSolver的solve方法。

solve方法会首先调用 initialize 方法，然后执行analyze()方法

initialize方法：
● 初始化调用图、指针流向图 、worklist(可以理解为指针分析的工作集)、reachableMethods(也就是分析能到达的方法)、initializedClasses(可以理解为内置的类，会进行指针分析，不需要我们添加)、stmtProcessor(这个类是指针分析处理语句的核心，根据访问者模式处理对行的语句(new、load、invoke、array等))
● 然后会执行插件的onStart()方法

analyze方法

  • 通过消费worklist中的Entry，对Entry进行指针分析的处理，然后调用Plugin的onNewPointsToSet方法（本篇文章用不到该方法，该方法在处理field和array source时会用到）
  • 在处理worklist后调用Plugin.onFinish()方法

2.1.2 分析EntryPointerHandler

通过对PointerAnalysis执行流程的分析应该能大概了解Plugin的执行顺序了。
看一下Plugin的interface ，有一系列plugin的方法。

  • 插件方法执行流程
    loadPlugin(pointerAnalysis加载插件)->setSolver->onStart->指针分析以及一些plugin方法->onFinish
  • 从上边我们可以理解编写Plugin的流程，选择我们需要的方法比如onStart 、onFinish
  • 在PointerAnalysis加入编写的插件。

看一下tai-e自带的EntryPointHandler它就是在onStart处判断加入口点。

2.1.3 添加EntryPoint

这样加入我们自己入口点的方法也有了，在onStart的时候把所有 有Mapping注解的方法都加入 入口点，这样pointeranalysis就能分析到我们的source点了，taintanalysis也会有结果。
下边的代码就是获取所有的class，然后获取class的method，若注解是Mapping，则加入entrypoint

public class AddControllerEntryPointHandler implements Plugin {private  Solver solver;@Overridepublic void setSolver(Solver solver) {this.solver=solver;}@Overridepublic void onStart() {//add all hsd mapping annotation methods to entrypointList<JClass> list = solver.getHierarchy().applicationClasses().toList();for (JClass jClass : list) {jClass.getDeclaredMethods().forEach(jMethod->{if (!jMethod.getAnnotations().stream().filter(annotation -> annotation.getType().matches("org.springframework.web.bind.annotation.\\w+Mapping")).toList().isEmpty()) {solver.addEntryPoint(new EntryPoint(jMethod, EmptyParamProvider.get()));}});}}
}

然后在pointer Analysis直接加入该插件，然后执行程序

然后执行程序将dot转换为svg
dot -Tsvg -o taint-flow-graph.svg taint-flow-graph.dot

由于上边我们只加入了一个sources和sql的sink点，所以只能检测出来一个taintflow

2.2 SourceHandler 分析及springboot source 添加

污点分析的核心包括如下三个集成到指针分析的核心插件：
SourceHandler：添加代表污点的特殊堆抽象加入到符合source点规则的指针的指向集中
TransferHandler：将符合污点传播规则的边加入指针分析
SinkHandler：收集污点流，输出source->sink的污点流的集合

2.2.1 source类型

tai-e的污点分析支以下持三种source

sources:- { kind: call, method: "<javax.servlet.ServletRequestWrapper: java.lang.String getParameter(java.lang.String)>", index: result }- { kind: param, method: "<com.example.Controller: java.lang.String index(javax.servlet.http.HttpServletRequest)>", index: 0 }- { kind: field, field: "<SourceSink: java.lang.String info>" }

call sources
source点由调用点生成，若call site语句调用了特定方法，那么返回值就是source点。
paramater sources
对于特定方法，例如入口方法，没有特定的调用点。但其形参依然可能是source点。在spring-boot，通过注解来声明请求的处理入口，没有明确调用controller方法，在这种情况下，paramater sources非常有用。
field sources
对于字段类型的指针，其依然可能是source。

2.2.2 流程分析

从配置中获取source点的配置

当指针分析中产生新的语句或新的调用边时，若语句符合source的规则，则代表指针即为source点

当指针分析产生新的方法时，会处理其中的语句，也会在这个地方处理paramater sources

若我们想添加自定义的source点，便可以在handleParamSource、handleFieldSource、handleCallSource中添加。

2.2.3 添加source

我们的source仅加入了一个，但是一条一条加source也不太现实，没办法实现通用型。
通过分析找到2个比较适合加source点的地方,一个是处理source的开始，一个是处理source结束的地方。
1. SourceHandler处理ParamSource的地方

2. 在tai-e读取taint-config文件解析后添加source

我们这里就看第一种方法吧

代码如下

private void handleParamSource(CSMethod csMethod) {JMethod method = csMethod.getMethod();if (paramSources.containsKey(method)) {Context context = csMethod.getContext();IR ir = method.getIR();paramSources.get(method).forEach(source -> {IndexRef indexRef = source.indexRef();Var param = ir.getParam(indexRef.index());SourcePoint sourcePoint = new ParamSourcePoint(method, indexRef);Obj taint = manager.makeTaint(sourcePoint, source.type());switch (indexRef.kind()) {case VAR -> solver.addVarPointsTo(context, param, taint);case ARRAY, FIELD -> sourceInfos.put(param, new SourceInfo(indexRef, taint));}});}else {if (!method.getAnnotations().stream().filter(annotation -> annotation.getType().matches("org.springframework.web.bind.annotation.\\w+Mapping")).toList().isEmpty()) {Context context = csMethod.getContext();IR ir = method.getIR();for (int i = 0; i < ir.getParams().size(); i++) {Var param = ir.getParam(i);SourcePoint sourcePoint = new ParamSourcePoint(method, new IndexRef(IndexRef.Kind.VAR, i, null));Obj taint = manager.makeTaint(sourcePoint, param.getType());solver.addVarPointsTo(context, param, taint);}}}}

然后执行程序，查看结果，可以看到source都添加成功了，并且新增了一个taintflow。

 3. 结果展示

由lcark、keanu大佬实现更改的相关代码以及配置文件已经上传至github

具体食用方法如下：

1. 下载代码，并移动至spring-boot-1目录下

git clone https://github.com/lcark/Tai-e-demo
cd Tai-e-demo/spring-boot-1
git submodule update --init

2. 将java-sec-code文件夹移至与Tai-e-demo文件夹相同目录下

3. 将SpringBootHandler.java移动至Tai-e源码的src/main/java/pascal/taie/analysis/pta/plugin/taint/目录下，并重新编译打包

4. 使用如下命令运行tai-e便可以成功获取到扫描结果
java -cp xxx\tai-e-all-0.5.1-SNAPSHOT.jar pascal.taie.Main --options-file=options.yml

相关文章：

  • Paddle 稀疏计算 使用指南
  • CP AUTOSAR之ASWS_TransformerGeneral详细说明（更新中...）
  • 项目集成SkyWalking，基于k8s搭建
  • Linux实验五：进程间通信（一）
  • 【博客主页】博客主旨 精华
  • 最小生成树要点和难点具体应用
  • 蓝海卓越计费管理系统 agent_setstate.php SQL注入漏洞复现
  • Stable Diffusion｜黑白老照片修复
  • C++简洁版全排列代码
  • 微服务如何做好监控
  • 什么是容器？
  • SpringBootWeb 篇-深入了解 Mybatis 删除、新增、更新、查询的基础操作与 SQL 预编译解决 SQL 注入问题
  • uniapp集成websocket不断线的处理-打牌记账
  • 实战：生成个性化词云的Python实践【7个案例】
  • 六种常用设计模式
  • Fabric架构演变之路
  • Linux各目录及每个目录的详细介绍
  • sessionStorage和localStorage
  • 阿里云容器服务区块链解决方案全新升级 支持Hyperledger Fabric v1.1
  • 从 Android Sample ApiDemos 中学习 android.animation API 的用法
  • 当SetTimeout遇到了字符串
  • 动态魔术使用DBMS_SQL
  • 浮现式设计
  • 将回调地狱按在地上摩擦的Promise
  • 聊聊springcloud的EurekaClientAutoConfiguration
  • 前端攻城师
  • 由插件封装引出的一丢丢思考
  • ​ 全球云科技基础设施：亚马逊云科技的海外服务器网络如何演进
  • ​LeetCode解法汇总518. 零钱兑换 II
  • ​Z时代时尚SUV新宠：起亚赛图斯值不值得年轻人买？
  • #NOIP 2014# day.1 生活大爆炸版 石头剪刀布
  • （06）金属布线——为半导体注入生命的连接
  • （4）事件处理——（2）在页面加载的时候执行任务（Performing tasks on page load）...
  • （WSI分类）WSI分类文献小综述 2024
  • （附源码）node.js知识分享网站 毕业设计 202038
  • （附源码）python房屋租赁管理系统 毕业设计 745613
  • (附源码)springboot课程在线考试系统 毕业设计 655127
  • （接口自动化）Python3操作MySQL数据库
  • （亲测成功）在centos7.5上安装kvm,通过VNC远程连接并创建多台ubuntu虚拟机（ubuntu server版本）...
  • (循环依赖问题)学习spring的第九天
  • （转） ns2/nam与nam实现相关的文件
  • （转）Android学习笔记 --- android任务栈和启动模式
  • （转载）利用webkit抓取动态网页和链接
  • (转载)在C#用WM_COPYDATA消息来实现两个进程之间传递数据
  • (轉貼) 2008 Altera 亞洲創新大賽 台灣學生成果傲視全球 [照片花絮] (SOC) (News)
  • ***php进行支付宝开发中return_url和notify_url的区别分析
  • .NET CF命令行调试器MDbg入门(一)
  • .NET 中的轻量级线程安全
  • .Net(C#)自定义WinForm控件之小结篇
  • .NET大文件上传知识整理
  • .NET导入Excel数据
  • .考试倒计时43天！来提分啦！
  • @Bean有哪些属性
  • [＜事务专题＞]
  • [2023-年度总结]凡是过往,皆为序章