基于soot的过程内数据流分析

程序静态分析

程序静态分析（program static analysis）是指在不运行代码的方式下，通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。（百度百科）

静态分析中的xxx-sensitive的一些理解：

（此内容来自知乎）

xxx-sensitive是指静态分析中用于降低误报（false positive）的技术。存在flow-、path-、context-。

flow-insensitive：是把statements当作一个集合来看的，各个statement之间没有顺序，所以control flow statement（if、while）可以直接删除；flow-sensitive是说要关注statements之间的先后顺序。

path-insensitive：if、while静态分析时不知道动态的执行路线（path），所以一般会把它们不同的分支的数据流集merge起来。而path-sensitive则针对不同的路径的数据集不会merge，而是分别进行分析；

context-insensitve：只关心function之间的数据传递（参数、返回值、side-effect）而忽略了同一函数在不同call side下不同的context，即忽略了call stack。将call site和return当作goto，并添加一些赋值语句，这样造成的情况是，第一个call site处正常，第二个call site时返回值可能出现两个。

 

静态分析时，无论是分析源代码还是目标代码，分析的对象（方法、语句、变量）都只有一份：同一个方法我们只会写一个方法体（方法体里的语句也就只有一份）。同一个变量只会声明一次。然后动态运行程序的时候：

一个方法可能会被调用N次，每次调用的上下文可以不一样，不同上下文中这个方法里的变量的值会不同；一个方法里，一个变量的不同位置的值也会不一样；一个方法里同一个位置的变量的值在程序执行不同路径时也不一样。写的方法、语句、变量在动态运行时仿佛有了“分身”，每个分身都有自己的值。静态分析的时候对于同一个对象只能看到一个实体，如果直接分析，一个变量所有“分身”的相关属性会全部合并，并且一个变量的属性合并了，会影响其他变量的分析结果。

静态分析为得到准确的结果，就得为分析的对象模拟动态运行时的分身。

xxx-sensitive就是在静态分析时，按照xxx给程序里的对象（模拟动态运行）创建“分身”（或者说按照xxx区分分析对象）：按照上下文区分叫作context-sensitive；按照位置区分叫作flow-sensitive；按照路径区分叫作path-sensitive。区分之后就可以减少false positive。

数据流分析

（此内容来自龙书）

数据流分析：指的是一组用来获取有关数据如何沿着程序执行路径（control-flow graph）流动的相关信息的技术。

 

在所有的数据流分析应用中，我们都会把每个程序点和一个数据流（data-flow value）关联起来。这个值是在该点可能观察到的所有程序状态的集合的抽象表示。所有可能的数据流值的集合称为这个数据流应用的域（domain）。