污点分析没有类作为其来源的非恒定场的流动路径

Question

我有这个简单的测试课，我正在尝试模仿路径问题。 使用Message1作为源，console.writeline（Message1）作为接收器。

 class Test
    {
        private const string Message1 = "Test Message 1";
        private readonly string Message2 = "Test Message 2";

        public void Run()
        {
            Console.WriteLine(Message1);
            Console.WriteLine(Message2);
        }
    }

import csharp
import DataFlow::PathGraph

class Source extends DataFlow::Node {
  Source() { this.asExpr() instanceof StringLiteral }
}

class WriteLineMethod extends Method {
  WriteLineMethod() { this.hasQualifiedName("System.Console.WriteLine") }
}

class Sink extends DataFlow::Node {
  Sink() {
    exists(MethodCall m |
      m.getTarget() instanceof WriteLineMethod and
      this.asExpr() = m.getArgument(0)
    )
  }
}

class SimpleConfiguration extends TaintTracking::Configuration {
  SimpleConfiguration() { this = "Simple configuration" }

  override predicate isSource(DataFlow::Node source) { source instanceof Source }

  override predicate isSink(DataFlow::Node sink) { sink instanceof Sink }
  
}

from DataFlow::PathNode source, DataFlow::PathNode sink, SimpleConfiguration cfg
where cfg.hasFlowPath(source, sink)
select sink.getNode(), source, sink, "$@ is used in WriteLine method.", source.getNode(),
  "String"

在这里，我使用上述查询在上述测试类上进行了简单的污点跟踪分析，用于const field private const字符串message1 =“ test message 1”;作为source> source和 console.writeline（Message1）;作为sink我得到了正确的结果，但对于non Const field private ReadOnly ReadOnly String Messages2 = “测试消息2”; 似乎不起作用。

我在这里想念什么吗？为什么污点跟踪适用于静态类中的const字段或静态字段，而例如字段？

数据库zip文件： -database

codeql- test 在下面的github/codeql上创建了一个问题，是一个链接供参考。

github/codeql/dessoce/9569

Answer 1

引用链接 to github讨论答案。

这是一个很好的问题，我不得不研究答案的CFG和DF​​实施详细信息，我不确定我是否有完整的图片，但希望以下答案可以回答您的问题。

codeql c＃库处理实例字段与static或const字段不同。当CFG构造时，实例字段的初始化器被移动为实例构造函数。因此以下样品

 类C 
{
  int x = 42;

  C（）{}
}
 

在CFG

中以下面的形式建模

 类C
{
  int x;

  C（） 
  {
    this.x = 42;
  }
}
 

我不确定它这样实现的原因，但是我认为这使我们可以在继承和虚拟派遣的情况下进行精确的数据流分析。另外，它会降低噪声：在您的示例中，实际上没有代码路径可以打印测试消息2，因为没有test test的实例 run（）被调用。

基于上述CFG模型，为了找到丢失的流，我们需要添加一些代码，其中包括初始化和调用run（）。因此，例如添加以下构造函数

  test（）
{
  跑步（）;
}
 

有效，因为它已转换为

  test（）
{
  this.message2 =“测试消息2”;
  this.run（）;
}
 

和基于字段的数据流程从String字面到Writeline this 实例。

引入缺失流的另一种方法是添加以下内容：

 静态void m（）
{
  var t = new Test（）;
  t.run（）;
}

公共测试（）{}
 

在这种情况下，CodeQl找到了实例t的流程。 （请注意，添加空构造函数不应是必需的，但是由于CFG结构中的错误，没有它的流程。我提交了内部问题来解决此问题。）

这是一个很好的问题，我不得不研究答案的CFG和DF​​实施详细信息，我不确定我是否有完整的图片，但希望以下答案可以回答您的问题。

codeql c＃库处理实例字段与static或const字段不同。当CFG构造时，实例字段的初始化器被移动为实例构造函数。因此以下样品

 类C 
{
  int x = 42;

  C（）{}
}
 

在CFG

中以下面的形式建模

 类C
{
  int x;

  C（） 
  {
    this.x = 42;
  }
}
 

我不确定它这样实现的原因，但是我认为这使我们可以在继承和虚拟派遣的情况下进行精确的数据流分析。另外，它会降低噪声：在您的示例中，实际上没有代码路径可以打印测试消息2，因为没有test test的实例 run（）被调用。

基于上述CFG模型，为了找到丢失的流，我们需要添加一些代码，其中包括初始化和调用run（）。因此，例如添加以下构造函数

  test（）
{
  跑步（）;
}
 

有效，因为它已转换为

  test（）
{
  this.message2 =“测试消息2”;
  this.run（）;
}
 

和基于字段的数据流程从String字面到Writeline this 实例。

引入缺失流的另一种方法是添加以下内容：

 静态void m（）
{
  var t = new Test（）;
  t.run（）;
}

公共测试（）{}
 

在这种情况下，CodeQl找到了实例t的流程。 （请注意，添加空构造函数不需要必要，但是由于CFG结构中的错误，如果没有它，就找不到流程。我提交了内部问题来解决此问题。）