要

我們描述了一個名為 Jalangi 的工具框架，用于 JavaScript 程序的動態(tài)分析和符號執(zhí)行測試。該框架是用 JavaScript 編寫的，允許對 JavaScript 進行各種重載動態(tài)分析。Jalangi 包含兩個關(guān)鍵技術(shù)：1）選擇性錄制回放，這是一種能夠錄制并準(zhǔn)確地回放用戶選擇的程序部分的技術(shù)；2）陰影值和陰影執(zhí)行，可以輕松實現(xiàn)重量級動態(tài)分析，例如，condicolic 測試和污點跟蹤。Jalangi 通過對源代碼注入進行檢測，這使得它可以實現(xiàn)跨平臺移植。根據(jù) Apache 2.0 許可，可以從https://github.com/SRA-SiliconValley/jalangi獲得Jalangi。我們在SunSpider基準(zhǔn)套件和五個Web應(yīng)用程序上對Jalangi的評估表明，Jalangi在錄制過程中的平均速度降低了26倍，在重放和分析過程中的速度平均降低了30倍。與類似工具（如PIN和針對x86二進制文件的Valgrind）報告的類似情況相比，速度的降低是可比的。

關(guān)鍵詞

JavaScript；動態(tài)分析；符號執(zhí)行測試

一 導(dǎo)言

JavaScript 是編寫客戶端 web 應(yīng)用程序的首選語言，并且在編寫移動應(yīng)用程序（例如用于 Tizen OS 和 iOS）、桌面應(yīng)用程序（如 Windows 8 和 Gnome 桌面應(yīng)用程序）和服務(wù)器端應(yīng)用程序（如 node.js）時越來越流行。但是，針對 JavaScript 應(yīng)用程序的分析、測試和調(diào)試的工具較少。我們已經(jīng)開發(fā)了一個簡單而強大的框架，稱為 Jalangi，用于為 JavaScript 編寫重載動態(tài)分析。本文簡要介紹了該框架及其使用場景。該框架提供了一些有用的抽象和 API，大大簡化了 JavaScript 動態(tài)分析的實現(xiàn)。關(guān)于 Jalangi 背后的技術(shù)的詳細描述可以在[6]中找到。

Jalangi 可以在任何瀏覽器或 node.js 上工作。我們通過選擇性的源代碼檢測來實現(xiàn)瀏覽器的獨立性。即使某些源文件沒有檢測，Jalangi 也可以運行。對 Jalangi 的分析分兩個階段進行。在第一階段中，在用戶選擇的平臺（如 Android 上運行的 mobile chrome）上執(zhí)行并錄制一個插入指令的 JavaScript 應(yīng)用程序。在第二階段中，錄制的數(shù)據(jù)用于在桌面環(huán)境中執(zhí)行用戶指定的動態(tài)分析。

Jalangi 允許通過支持陰影值和陰影執(zhí)行輕松實現(xiàn)動態(tài)分析。陰影值使我們能夠?qū)㈥幱爸蹬c程序中使用的任何值相關(guān)聯(lián)。在 Jalangi 中，我們使用陰影值和執(zhí)行實現(xiàn)了幾個動態(tài)分析：1）共同語言測試，2）純符號執(zhí)行，3）跟蹤 null 和 undefined 的來源，4）檢測可能的類型不一致，5）簡單的對象分配分析器，6）簡單的動態(tài)污染分析。

二 技術(shù)細節(jié)

我們提供了 Jalangi 的技術(shù)細節(jié)概要。有關(guān)更詳細的技術(shù)討論，請參閱[6]。用戶標(biāo)識由 Jalangi 檢測的 web 應(yīng)用程序的一個子集，以便錄制和回放。在錄制階段，將在用戶選擇的平臺上執(zhí)行生成的檢測代碼。即使使用了用戶代碼的子集，整個應(yīng)用程序也會在錄制階段執(zhí)行，包括已插入和未插入 JavaScript 代碼以及本機代碼。但是，在回放階段，Jalangi 僅回放已檢測的代碼。Jalangi 具有在用戶平臺上完整執(zhí)行 JavaScript 應(yīng)用程序的功能，使錄制的執(zhí)行可以在開發(fā)筆記本電腦/臺式機 JavaScript 引擎上進行調(diào)試，以進行調(diào)試，包括移動瀏覽器和基于 node.js 的系統(tǒng)，或具有嵌入式 JavaScript 引擎的集成開發(fā)系統(tǒng)。這種方法還支持使用支持陰影執(zhí)行的底層陰影值實現(xiàn)動態(tài)分析。

通過錄制執(zhí)行期間從內(nèi)存加載的每個值，并在回放期間在相關(guān)內(nèi)存加載期間重新使用它們，可以有效地提供錄制和回放。這種方法雖然聽起來不錯，但也存在一些挑戰(zhàn)，例如：（1）如何有效地錄制函數(shù)和對象？（2） 如何在未檢測本機函數(shù)（例如，JavaScript 事件 dispather）調(diào)用檢測函數(shù)時提供回放？通過提供間接記錄（其中唯一的數(shù)字標(biāo)識符與每個對象和功能相關(guān)聯(lián)）以及記錄這些標(biāo)識符的值來解決第一個問題。第二個問題通過顯式錄制和調(diào)用已檢測功能來解決，這些功能又從未插入代碼中調(diào)用，或者由于 JavaScript 事件處理程序調(diào)度而執(zhí)行。

此外，我們還觀察到，回放期間的內(nèi)存負載值可以通過執(zhí)行檢測代碼來計算，而無需錄制所有內(nèi)存負載的值。通過僅記錄必要的內(nèi)存負載，這用于提高 Jalangi 的效率。為了確定是否必須記錄內(nèi)存負載的值，Jalangi 在記錄階段跟蹤影子內(nèi)存，該影子內(nèi)存將在執(zhí)行實際代碼時隨實際內(nèi)存一起更新。 執(zhí)行本機和未執(zhí)行的代碼不會對影子內(nèi)存進行更新。為了確保在重放階段可以使用正確的值，只有在記錄階段在內(nèi)存位置存儲的值存在差異時（例如，如果在內(nèi)存位置的值之間存在差異），Jalangi 才會存儲內(nèi)存負載的值。 實際加載的內(nèi)存及其關(guān)聯(lián)值存儲在影子內(nèi)存中）。

在 Jalangi 中，在回放階段執(zhí)行中使用的任何值都可以替換為帶注釋的值，該值可以為實際使用的值提供附加信息。例如，支持污染分析所需的額外污染信息，或者可能是與符號執(zhí)行中的實際值相關(guān)的信息，這些信息可以以符號表達式的形式提供。Jalangi 使用 concolvalue 類型的對象來表示帶注釋的值。

三 動態(tài)分析

在 Jalangi，我們進行了以下動態(tài)分析：

• 符號執(zhí)行測試：符號執(zhí)行測試沿著具體的執(zhí)行路徑執(zhí)行符號執(zhí)行，生成表示輸入值約束的邏輯公式，并求解約束以生成新的測試輸入，這些新的測試輸入將沿著以前未探索的路徑執(zhí)行程序。Jalangi 中的符號執(zhí)行測試支持對整數(shù)，字符串和對象類型的約束以及新穎的類型約束。我們引入類型約束來處理 JavaScript 的動態(tài)特性，對于程序的不同可行執(zhí)行路徑，輸入變量的類型可以不同。
• 純符號執(zhí)行：純符號執(zhí)行象征性地執(zhí)行程序，從不為了回溯而重新啟動程序。它在執(zhí)行分支語句之前檢查狀態(tài)，執(zhí)行一個分支，然后使用檢查點狀態(tài)回溯以探索另一個分支。對于小程序，純符號執(zhí)行避免了由于重復(fù)重新啟動而造成的時間浪費。
• 跟蹤空值和未定義值的來源：此分析錄制空值和未定義值來源的源代碼位置，并在由于空值或未定義值而發(fā)生錯誤時報告位置。每當(dāng)由于這些文本（例如訪問空值的字段）而出現(xiàn)錯誤時，就會向用戶報告文本的陰影值。這樣的報告有助于程序員輕松識別空值的來源。
• 檢測可能的類型不一致：動態(tài)分析檢查在給定程序位置創(chuàng)建的對象是否可以采用多個不一致的類型。它計算在程序中的每個定義位置創(chuàng)建的對象和函數(shù)值的類型。如果在程序位置定義的對象或函數(shù)值在執(zhí)行期間被觀察到具有多個類型，則分析報告程序位置和觀察到的類型。有時，這種類型的不一致可能會指向程序中的潛在錯誤。我們已經(jīng)在兩個 SunSpider 基準(zhǔn)測試程序中注意到了這樣的問題。
• 簡單對象分配探查器：此動態(tài)分析錄制在給定分配站點創(chuàng)建的對象數(shù)量以及訪問對象的頻率。它報告在給定分配站點創(chuàng)建的對象是只讀的還是常量。它還報告對象創(chuàng)建時間和對象的最新訪問時間之間的最大和平均差異。如果分配站點創(chuàng)建的常量對象太多，則可能導(dǎo)致內(nèi)存效率低下。我們在基準(zhǔn)測試套件中的一個 web 應(yīng)用程序中發(fā)現(xiàn)了這樣一個問題。
• 動態(tài)污染分析：動態(tài)污染分析是一種信息流分析形式，它檢查信息是否可以從一組特定的內(nèi)存位置（稱為源）流向另一組內(nèi)存位置（稱為匯）。我們在 Jalangi 中實現(xiàn)了一種簡單的動態(tài)污染分析形式。在分析中，我們將任何對象的任何字段的讀取（以前未由檢測源編寫）視為污染源。我們將任何可能改變程序控制流的內(nèi)存位置的讀取都視為接收器。我們附加污染信息與實際值的陰影值。

四 實施

Jalangi 可在https://github.com/SRA SiliconValley/Jalangi 上獲得。我們已經(jīng)用 JavaScript 實現(xiàn)了 Jalangi。

Jalangi 通過檢測 JavaScript 代碼進行操作。表 3 顯示了在表 1 中插入代碼后獲得的代碼。在檢測期間，Jalangi 從 Jalangi 庫插入各種回調(diào)函數(shù)。回調(diào)函數(shù)列在表 2 中。這些函數(shù)在 JavaScript 中包裝了各種操作。Jalangi 的選擇性錄制重放引擎是通過定義這些回調(diào)函數(shù)來實現(xiàn)的。

Jalangi 將工具庫公開為函數(shù)工具代碼。這也使我們能夠動態(tài)地測試在運行時創(chuàng)建和計算的任何代碼。例如，我們將對 eval（s）的任何調(diào)用修改為 eval（instrumentCode（s））。

五 Jalangi 的表現(xiàn)

我們在 JavaScript-SunSpider（http://www.webkit.org/perf/SunSpider/SunSpider.html）基準(zhǔn)套件中的26個程序和使用HTML5/JavaScript為Tizen操作系統(tǒng)編寫的5個web應(yīng)用程序上運行了Jalangi的錄制回放。（https://developer.tizen.org/下載/示例web應(yīng)用程序）。表4顯示了與錄制階段和三個動態(tài)分析相關(guān)的開銷：無分析（用null表示）、跟蹤空和未定義的來源（用track表示）和污染分析（用taint表示）。我們還報告為每個基準(zhǔn)程序錄制的值的數(shù)量。實驗是在配備2.3 GHz Intel Core i7 和 8 GB RAM 的筆記本電腦上進行的，并在 Chrome 25 上運行了網(wǎng)絡(luò)應(yīng)用，并在 node.js 0.8.14 上執(zhí)行了重放。

我們沒有衡量 web 應(yīng)用程序的增長速度，因為它們大多是交互式應(yīng)用程序。對于 SunSpider 基準(zhǔn)套件，在記錄階段，我們觀察到平均速度降低了 26 倍，最低為 1.5 倍，最高為 93 倍。 在重播階段進行空分析時，我們觀察到平均速度降低了 30 倍，最小值為 1.5 倍，最大值為 93 倍。 跟蹤分析顯示，平均速度降低了 32.75 倍，最小值為 1.5 倍，最大值為 96 倍。

5.1 JALANGI 動態(tài)分析檢測到的問題

Jalangi 可能的類型不一致檢查器發(fā)現(xiàn)，SunSpider 基準(zhǔn)測試套件的 3d-cube.js 中的 CreateP 函數(shù)主要用作構(gòu)造函數(shù)，但在某個位置它被稱為函數(shù)。作為函數(shù)調(diào)用的結(jié)果，程序在全局對象中創(chuàng)建一個不必要的 V 字段。我們認為此調(diào)用可能是編程錯誤。

Jalangi 的對象分配分析器注意到附件游戲 webapp 中的 getValue（place，_board）方法創(chuàng)建了一個常量對象數(shù)千次。我們相信，通過在方法之外提升常數(shù)對象，可以避免這種不必要的常數(shù)對象的創(chuàng)建。

六 相關(guān)工作

據(jù)我們所知，Jalangi 是第一個 JavaScript 動態(tài)分析框架。很少有工具可以執(zhí)行 JavaScript 程序的錄制回放。JSBench 使用錄制回放機制創(chuàng)建 JavaScript 基準(zhǔn)。Mugshot 捕獲所有事件，以確定地重放 web 應(yīng)用程序的執(zhí)行。Ripley 在服務(wù)器端副本上復(fù)制客戶端 JavaScript 程序的執(zhí)行。

七 結(jié)論

Jalangi 已經(jīng)處理了 JavaScript 的各種具有挑戰(zhàn)性的細節(jié)。由于可以處理 JavaScript 的所有令人擔(dān)憂的問題，因此可以輕松地在 Jalangi 框架中實施動態(tài)分析。我們期望 Jalangi 將有助于未來 JavaScript 動態(tài)分析的研究。

致謝

本文由南京大學(xué)軟件學(xué)院 2020 級碩士李彤宇轉(zhuǎn)述翻譯 感謝國家重點研發(fā)計劃（2018YFB1003900）和國家自然科學(xué)基金（61832009，61932012）支持！

navigator.geolocation.clearWatch(watchID);

[Deprecation] getCurrentPosition() and watchPosition() no longer work on insecure origins. To use this feature, you should consider switching your application to a secure origin, such as HTTPS. See https://goo.gl/rStTGz for more details.