基于静态分析的Rust内存安全缺陷检测研究 报告人：徐辉 报告日期：2022.11.25 复旦大学 大纲 一、问题背景 二、Rust指针缺陷检测方法 三、实验结论 四、论文发表心得 大纲 一、问题背景 二、Rust指针缺陷检测方法 三、实验结论 四、论文发表心得 Rust语言 ❑ 系统级安全编程语言 ▪ 内存安全 ▪ 并发安全 ▪ 效率 2006年 2011年 研究挑战：指针分析是NP-hard问题 ▪ 准确性：应采用路径敏感的指针分析算法，避免过多误报 ▪ 分析效率：应基于Rust MIR的特点对算法进行优化，使其可行 ❑ 整体思路：基于编译过程中的生成的MIR进行静态分析 ▪ 路径提取：控制流图=>生成树 ▪ 别名分析：分析指针之间的关联关系 ▪ 模式识别：根据预定义的缺陷模式检测指针漏洞 路径提取 别名分析 模式识别 “SafeDrop: Detecting

IDE：用户体验提升 源于 Rust 强大的编译检查和错误 处理方式， 更少的 Bug 稳定性提升 端到端编译执行性能提升了 66% 66 % 20 & 40 前端解析器性能提升 20倍 中端语义分析器性能提升40倍 稳定性和性能的巨大提升 50 % 语言编译器编译过程平均内存使用 量变为原来 Python 版本的一半 01 02 03 04 Case1: 单文件编译 > https://github

Item 的容器） 4. 函数 5. type 定义 6. 结构体定义 7. 枚举类型定义 8. 常量定义 9. 静态变量定义 10. Trait 定义 11. 实现（Impl） 这些 Item 是可以互相嵌套的，比如在一个函数中定义一个静态变量、在一个模 块中使用 use 声明或定义一个结构体。 5.1 属性 5.1.1 属性的语法 Rust 包括两种 attribute "lib" - 编译为库； o "dylib" - 编译为动态链接库； o "staticlib" - 编译为静态链接库； o "rlib" - 编译为 Rust 特有的库文件，它是一种特殊的静态链接库格式，它里 面会含有一些元数据供编译器使用，最终会静态链接到目标文件之中。 例#![crate_type = "dylib"]。  feature - 可以开启一些不稳定特性，只可在 库，它有以下参数： o name - 库的名字，比如 libname.a 的名字是 name； o kind - 库的类型，它包括  dylib - 动态链接库  static - 静态库  framework - OS X 里的 Framework 5.1.2.4 条件编译 有时候，我们想针对不同的编译目标来生成不同的代码，比如在编写跨平台模块时， 针对 Linux

174 30.2 解引用裸指针 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175 30.3 可变的静态变量 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175 30.4 联合体 . . . . . . . 不包括以下内容： • 学习如何开发宏：请参阅 Rust Book 的第 19.5 章 和 Rust by Examples 对应章节。 学习前提 本课程假设你已经具备编程知识。Rust 是一种静态类型语言，本课程有时会将其与 C 和 C++ 进行比较， 以便更好地解释或对比 Rust 的设计。 如果你会使用 Python 或 JavaScript 等动态类型语言编程，那么你也能够很好地跟上进度。 Rust 的优势 3 minutes Playground 2 minutes 4.1 什么是 Rust？ Rust 是一门新的编程语言，它的 1.0 版本于 2015 年发布： • Rust 是一门静态编译语言，其功能定位与 C++ 相似 – rustc 使用 LLVM 作为它的后端。 • Rust 支持多种平台和架构: – x86、ARM、WebAssembly...... – Linux、Mac、Windows

io/rust-verification-tools/2021/08/22/rust-on-linux-1.html Rust China Conf 2021 – 2022, Online, China Rust静态检查与动态检查 静态检查： • 基于所有权和生命周期的内存管理模型：内存安全 • 通过trait来确保代码符合某些规范：Send, Sync, Unpin等 动态检查： • 数组越界 • 整数溢出 Rust API 可靠性 现有的机制是否足够呢？ • unsafe代码没有破坏内存安全性 • no memory leakage • panic free 在任何合法使用API的情况下 • 所有静态检查提供的保证都应该被满足（不应该被unsafe所破坏） • 所有动态检查都不应该被违背（可以被安全的移除），除非panic是一种 允许的行为 Rust China Conf 2021 – 2022 Online, China 现有的可靠性分析方法及其局限性 模糊测试(afl.rs, libfuzzer)：分支覆盖率；用例程序的构造 符号执行(klee, angr)：路径爆炸；求解困难 静态分析(MirChecker, Rudra, SafeDrop)：分析特定问题；假阳性 形式化验证(RustBelt)：无法方便的验证第三方库 其他工具（Miri等）…..... Rust China

程序，那么在终端上就会打印出 Hello, world! 。 如果你更熟悉动态语言，如 Ruby、Python 或 JavaScript，则可能不习惯将编译和运行分为两 个单独的步骤。Rust 是一种 预编译静态类型（ahead-of-time compiled）语言，这意味着你可 以编译程序，并将可执行文件送给其他人，他们甚至不需要安装 Rust 就可以运行。如果你给 他人一个 .rb、.py 或 .js String 类型的一个 关联函数（associated function）。 关联函数是针对类型实现的，在这个例子中是 String ，而不是 String 的某个特定实例。一 些语言中把它称为 静态方法（static method）。 new 函数创建了一个新的空字符串，你会发现很多类型上有 new 函数，因为它是创建类型实 例的惯用函数名。 总的来说，let mut guess = String::new(); could not compile `guessing_game` due to previous error 错误的核心表明这里有 不匹配的类型（mismatched types）。Rust 有一个静态强类型系统，同 时也有类型推断。当我们写出 let guess = String::new() 时，Rust 推断出 guess 应该是 String 类型，并不需要我们写出类型。另一方面，secret_number

程序，那么在终端上就会打印出 Hello, world!。 如果你更熟悉动态语言，如 Ruby、Python 或 JavaScript，则可能不习惯将编译和运行分为两 个单独的步骤。Rust 是一种 预编译静态类型（ahead-of-time compiled）语言，这意味着你可 以编译程序，并将可执行文件送给其他人，他们甚至不需要安装 Rust 就可以运行。如果你给 他人一个 .rb、.py 或 .js `guessing_game` (bin "guessing_game") due to 1 previous error 错误的核心表明这里有 不匹配的类型（mismatched types）。Rust 有一个静态强类型系统，同 时也有类型推断。当我们写出 let guess = String::new() 时，Rust 推断出 guess 应该是 String 类型，并不需要我们写出类型。另一方面，sec 中，每一个值都有一个特定 数据类型（data type），这告诉 Rust 它被指定为何种数 据，以便明确数据处理方式。我们将看到两类数据类型子集：标量（scalar）和复合 （compound）。 记住，Rust 是 静态类型（statically typed）语言，也就是说在编译时就必须知道所有变量的 类型。根据值及其使用方式，编译器通常可以推断出我们想要用的类型。当多种类型均有可能 时，比如第二章的 “比较猜测的数字和秘密数字”

研究方向：物联网安全、系统安全 • 热爱开源，乐于尝试新技术 • RustSBI项目维护者 • 致力于向科研、教学和产业界推广 Rust语言 汲取Rust嵌入式和操作系统生态经验，总 结而成的新一代驱动开发方法。动、静态 基地址结合，高灵活性；一次开发，同时 复用于嵌入式、固件和内核中。 # 组件化驱动 合理利用嵌入式、桌面和服务器芯片片内 ROM代码，构造零开销的运行环境。进一 步地，可完成安全引导、安全镜像分发和 好 rootfs和最小Linux环境的代码中。 • 一个优秀的例子是Oreboot1 • RustSBI原型设计系统将会提供 此类环境准备软件 • 后续生态的固件也可复用RustSBI编 写的静态检查等相关工具。 1 https://github.com/oreboot/oreboot 致谢 • 感谢Rust语言让我拥有重新认识嵌入式、固件开发的机会。 • 感谢Rustcc嵌入式社区

fn static_run(t: &T) { t.run(); } fn dynamic_run(r: &Run) { r.run(); } 泛型/Generics，静态分派 http://is.gd/Q2YkAU Trait Object, 动态分派 Static dispatch define internal void @_ZN10static_ru 人的主观能动性， 允许专家在不受机器束缚的前提下写出安全的代码。 神舟十号与天宫一号有自动对接的同时还有人工对接。 内存安全小结 Rust语言通过： • 优秀的类型系统设计 • 严格的编译器静态审查 • 配合程序员局部核对 • 加上少量的运行时校验 ……保障了内存安全。 （作为对比，传统C/C++语言把包袱完全丢给程序员，还美其 名曰“绝对信任程序员”，实质上是放弃。） 因为新概

Conf 2022 – 2023, Shanghai, China 类型安全 内存安全 并发安全 静态类型 类型大小 类型推导 强类型 借用检查 智能指针 && RAII 生命周期 所有权系统 Channel 共享状态 所有权 Send && Sync Trait 编译器静态检查 高可靠 1 2 3 ü 无GC、无Runtime、无解释器 ü 零成本抽象 ü 后端LLVM优化