白泽带你读论文 | Object Dependence Graph and Query

如需转载请注明出处，侵权必究

       本文发表于USENIX Security 2022，第一作者是来自约翰霍普金斯大学的Song Li。论文借鉴了代码属性图（Code Property Graph）的思想，针对JavaScript的一些动态特性提出了一种新的图结构称为对象依赖图（Object Dependence Graph），并将其应用于Node.js的漏洞挖掘工作中。

1.  前人工作提出了许多基于程序分析的方法来对Node.js上一些常见漏洞类型进行检测，如命令执行、原型污染等，并且取得了不错的成效。然而这些工作都是针对特定Node.js漏洞类型进行挖掘，现在还没有一个通用的框架能够用来检测所有类型的Node.js漏洞。

2.  在JavaScript以外的语言（如C/C++和PHP）中，漏洞检测的一个最新进展是建立一个代表目标程序不同属性的图结构，并执行图查询来挖掘漏洞。在已有的研究中，CPG（代码属性图）被证明在在挖掘C/C++和PHP中的许多类型的漏洞方面是有效的。然而CPG中没有对对象关系进行建模，例如基于JavaScript原型链的对象查找，因此无法用于检测JavaScript中常见的基于对象的漏洞，如原型污染和内部属性篡改等。

3.  先前的静态JavaScript分析的研究通过抽象解释与在线数据结构（如网格）一起为对象及其关系建模。然而已有抽象解释面临两个主要的挑战：一是以前的数据结构不适合离线（即抽象解释后）检测各种漏洞，他们的目标是特定类型的漏洞；二是对分支敏感性的取舍，如果不考虑分支敏感性依次解释所有的分支会损害分析的准确性，而如果考虑分支敏感性而进行并行解释的话又容易损害了扩展性。

◽ v（变量)->o（对象）：表示的含义是变量v对应JavaScript对象o。

◽ o（对象)->v（变量）：表示的含义是变量v是对象o的一个属性

◽ o（对象）->o（对象）：表示不同对象之间的依赖关系，如数据流依赖。

◽ a（AST节点）-> o（对象）：为AST图中表示变量的节点绑定对应的对象节点。

◽ o（对象）-> a（AST节点）：表示对象o的定义，即将对象o与其对应的定义语句在AST中的根节点关联起来。

• 在分支敏感模式下，为每个分支创建一个唯一的分支标签，通过标签来区别同一个变量在不同分支的状态。

• 在分支不敏感的模式下，依次对所有分支顺序进行抽象解释，后来的分支中创建的对象和边将覆盖在早期分支中创建的对象和边。

• 默认模式是分支敏感模式，但如果对于一个特定的函数来说对象的数量超过一定数量（如10k），工具将切换到分支不敏感模式。

• 在预调用阶段，查找函数对象并创建相应的对象节点和控制流边。

• 在调用阶段，首先处理所有的参数，改变当前的scope节点（用于区分不同的抽象解释作用域）和this指针，然后跳转到对应函数的AST根节点。在函数返回语句中，处理函数返回的对象并创建相应的数据流边。

• 由于工具使用当前作用域处理函数调用并返回到准确的调用位置，因此是一种上下文敏感的方法。

为了方便利用ODG图进行漏洞挖掘，本文借鉴CPG的思想对一些基础的图查询以及图遍历操作进行建模，如表2所示。主要是思路就是将常用的一些操作定义为图查询的原子操作，如表示查找对象o所对应的定义语句，表示在AST中匹配特定的语句结构并返回其AST根节点p（如寻找o1[o2]=o3的语句结构）等。不同图查询操作可以通过交、并等关系构成更加复杂的图查询操作。

论文收集了330个已知的Node.js漏洞，并进行了分类，总结出16类Node.js漏洞类型。如表4所示，经过评估，ODG+CFG+AST的组合支持对其中大部分的漏洞类型建模（13/16）。

论文在30万个NPM包上对工具进行了评估。结果如表5所示，在爆出的2964个漏洞报告中，人工检验其中的264个漏洞报告，发现其中180个为真实漏洞，并最终收到70个CVE编号。

论文选取一些现有工作作为benchmark，如表6所示。其中为了满足对比的需要，论文还对一些工具进行修改来支持对Node.js漏洞检测。

从实验结果来看，论文与现有工作相比不论是漏洞挖掘数量还是漏洞的漏报率和误报率方面的表现都更优异。

论文衡量了工具在给定时间上限内对于NPM包的代码覆盖率以及分析效率的表现。如下图所示，在30秒的限制内，有40%以上包代码覆盖率接近100%。而在对分支敏感的情况下，工具在30秒内完成了85%的包的分析，在对分支不敏感的模式下，完成了93%的包的分析。

文中将只使用分支敏感模式和分支不敏感模式与论文中提出的混合模式进行对比，结果如表11所示，混合的模式相比与固定使用某一种模式而言能够发现更多的漏洞。

1.  本文提出了一种新颖的图结构，称为对象依赖图（ODG），用来建模JavaScript对象及其与AST节点在定义和使用方面的关系。

2.  针对各种Node.js漏洞特别是原型链污染、内部属性篡改设计了对应的离线图查询模式用于漏洞检测。

3.  实现了一个工具原型ODGGen，使用抽象解释来生成Node.js包对应ODG结构用于漏洞检测。

4.  在真实世界的NPM软件包上对ODGEN进行评估发现了43个应用级和137个软件包级的0day漏洞（70个被分配了CVE标识符）。

CPG（代码属性图）是整合了PDG+CFG+AST的图结构，而ODG+AST+CFG在CPG的基础上保留了AST和CFG部分，并新增了对象、变量和scope节点，在这些节点和AST节点之间建边来表示对象与变量的对应关系、对象与对象之间关系、对象和AST节点的对应关系等，使用更加细粒度的对象间的依赖关系来替代原来CPG中的PDG。

ODGEN的默认情况是抽象地解释并行所有的分支，但是如果对象节点的数量爆炸，ODGEN会切换回按照函数的顺序进行分支解释，即默认模式是分支敏感的，不过针对图中的节点数量设计了一个阈值，如果一旦对象节点数量超过这个阈值就会切换到分支不敏感的模式。

文案：HZA

排版：YST

戳“阅读原文”即可查看论文原文哦~

复旦白泽战队

一个有情怀的安全团队

还没有关注复旦白泽战队？

公众号、知乎、微博搜索：复旦白泽战队也能找到我们哦~