【KLEE学习笔记】Docker安装KLEE+ KLEE的简单使用+KLEE的约束文件

已于 2024-04-17 15:41:02 修改
阅读量1k 收藏 9
点赞数 24
分类专栏： 漏洞检测 文章标签： 安全 漏洞挖掘
于 2024-04-07 11:39:48 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43727392/article/details/137451713
版权

本文架构

零、前言

反复试了几个源码安装KLEE的教程都不行，装了一天毫无进展，几乎怀疑人生。后来想反正我不需要在KLEE基础上再开发，就直接使用Docker安装KlEE就好了。
在这个基础上进一步写（原文链接），原文写的挺好的，但就是写作格式需要改进 -v-。

一、KLEE简介

klee-log
符号执行 (Symbolic Execution) 是一种程序分析技术，其可以通过分析程序来得到让特定代码区域执行的输入。使用符号执行分析一个程序时，该程序会使用符号值作为输入，而非一般执行程序时使用的具体值。在达到目标代码时，分析器可以得到相应的路径约束，然后通过约束求解器来得到可以触发目标代码的具体值。

相关可阅读文献（仅供参考）
1.【OSDI 2008-Cristian Cadar et al. 】《KLEE: Unassisted and Automatic Generation of High-Coverage Tests for Complex Systems Programs》

2.【Github】KLEE
3.【官网】KLEE Symbolic Execution Engine
4.【Github Blog】符号执行, KLEE 与 LLVM
5.【个人网站】符号执行引擎 KLEE 学习笔记
6.【官方文档】KLEE Doc

二、Docker安装KLEE

1. 使用apt安装docker

# ubuntu安装docker 
sudo apt install docker

sudo apt install docker.io

2.拉取klee镜像

docker pull klee/klee

pull_klee

3.使用git 拉取klee源码

git clone https://github.com/klee/klee.git

4.安装klee镜像

cd klee

# 注意，klee/klee后面那个“.” 记得加上，表示在当前路径下创建一个镜像
# docker build <OPTIONS> PATH | URL | -
docker build -t klee/klee .

此处会进行大约几分钟的安装，基本都是环境的下载。
klee_install

5. 运行镜像

docker run 命令详解这个文章写的比较好【CSDN Blog】docker run 命令详解（新手入门必备）

docker run --rm -ti --ulimit=‘stack=-1:-1’ klee/klee

运行容器成功后可以看到已经有了klee的src和build目录
intodocker
此时可以正常使用klee，例如运行klee里面的example，简单体验klee

持久化容器

# --rm是临时容器，exit后就销毁了
docker run -ti --name=my_first_klee_container --ulimit='stack=-1:-1' klee/klee
# 查看现存的容器
docker ps -a
# 重新启动你的持久化容器
docker start -ai my_first_klee_container

三、试用KLEE的examples

1.查看并了解待测文件examples/get_sign/get_sign.c

cd klee_src/examples/get_sign
vim get_sign.c

get_sign_c
此函数目的十分简单，判断一个数是正、负还是0。

  • 可以看到main函数中klee_make_symbolic()函数，该函数包含在头文件klee.h中，主要是将一个值替换成符号形式，以对其进行符号执行。
  • 该函数接收3个参数：<变量地址、变量大小、变量名>（可以为任何值）。
  • main函数目的：将变量a符号化并用它调用get_sign()

2.KLEE进行符号测试的基本步骤

编译成LLVM位码文件

由于klee是对LLVM IR进行实现的，所以需要将待测文件编成LLVM位码文件先。运行指令：

clang -I ../../include -emit-llvm -c -g -O0 -Xclang -disable-O0-optnone get_sign.c

参数解释

参数解释
-I<dir>添加目录到include搜索路径，这样我们的编译器才能找到klee/klee.h，里面定义了很多我们需要与klee虚拟机进行交互的内部函数，比如klee_make_symbolic
-emit-llvm对汇编程序和对象文件使用LLVM表示。
-c 只运行预处理、编译和汇编步骤。
-g将调试信息添加到位代码文件中，以便之后使用该文件生成源代码行级别的统计信息。如果没有这个参数，将无法得到映射在源码层面的一些信息，不方便我们查看结果。
-O0 -Xclang -disable-O0-optnone这个是一些优化相关的问题，O0表示不进行任何优化.因为我们需要对源码进行符号执行，所以源码的结构信息是十分重要的，部分编译器进行优化可能会丧失这种结构信息。

输入完成后得到get_sign.bc
klee-bc

使用KLEE进行符号执行

使用klee对bc文件进行符号执行。原文链接。但不是很详细，重新做个笔记。

klee get.sign.bc

klee-exexution
可以看到：

  • KLEE一共执行了33条指令，探索了3条执行路径，生成了3条测试用例
  • 新生成了klee-last和klee-out-0文件夹。输出结果报告放在了 klee-out-0(或者klee-last)目录下(PS:klee每执行一次都会生成一个klee-out-N，其中N是表示第几次的执行，这里我们只执行了一次，因此是0。除此之外，会生成一个klee-last的符号链接，指向最新生成的这个k查看Klee-out-N)。
    使用ll也可以看到klee-last是一个指向最新生成测试文件文件夹的软链接。
    testsout

我们查看下目录 klee-last
klee-last
各个文件的作用可以见【官方文档】

查看生成的测试用例

查看测试用例需要使用klee-tools，这里我们分别查看下test0000001.ktest,test0000002.ktest,test0000003.ktest。

test-detail

ktest中结果解释

图中可见，其生成的三个测试用例有符号整型值分别对应0,16843009,-2147483648。

参数参数解释
args调用程序时使用的参数,这个例子中只有程序名
num objects: 符号对象在路径上的数量，在这个例子中只有1个
object 0: name: 符号对应的变量名字
object 0:size: 符号对应的变量大小
object 0:int\hex\uint等: 其他格式的用例查看。例如：无符号形式uint、十六进制hex

四、使用KLEE生成的测试用例运行程序

1.链接到klee库

用klee提供的库来将得到的测试用例作为输入来运行我们的程序。首先将我们的程序链接到klee提供的库libkleeRuntest

export LD_LIBRARY_PATH=<KLEE_BUILD_PATH/lib>:$LD_LIBRARY_PATH
# 指定将get_sign.c编成 get_sign.out
$ gcc -I ../../include -L <KLEE_BUILD_PATH/lib>/lib  get_sign.c -o get_sign -lkleeRuntest
# 使用默认,生成a.out
$ gcc -I ../../include -L <KLEE_BUILD_PATH/lib>/lib  get_sign.c  -lkleeRuntest

这里的KLEE_BUILD_PATH是你KLEE的build目录,请根据自己的实际设置。
klee-gcc

2.查看执行结果

两个指令生成的就是文件名不一样。将测试用例输入程序a.out或者get_sign.out

KTEST_FILE=klee-last/test000001.ktest ./a.out
# 或者
KTEST_FILE=klee-last/test000001.ktest ./get_sigin.out.out

使用echo $?输出执行结果,可以看到测试用例1的值为0 所以函数执行后同样输出0。其他的东西都一样，就不逐一试了。
input0

五、约束文件生成

我使用KLEE的目的就是为了获取程序分析后的约束文件，所以这里也写下。只找到一篇文章【简书Blog】KLEE中的约束文件解析。但本文跟它存在偏差。约束文件的格式讲解可以参靠这篇文章。
更多的内容还是来自官方文档
The reference manual for the KQuery language

1.生成约束文件

在进行符号执行前添加相关参数（这里与原文章介绍的-use-query-log=all:pc不一样，可能版本不同，所以大家最好还是通过输入klee --help来查看自己当前版本的参数是什么）

参数参数解释
-use-query-log=all:kquery记录格式为KQuery,全部约束
-use-query-log=all:smt2记录格式为SMT-LIBv2，全部约束
-use-query-log=solver:kquery记录格式为KQuery ，只记录交于约束求解器求解的约束
-use-query-log=solver:smt2记录格式为SMT-LIBv2，solver则表示只记录交于约束求解器求解的约束

输入命令

klee -use-query-log=all:kquery get_sign.bc

可以看到生成了名为all-queries.kquery文件
kquery

查看all:kquery格式文件

使用vim查看all:kquery格式文件

vim all-queries.kquery

kquery2
一共生成了4个约束条件。

查看solver:Kquery格式文件

klee -use-query-log=solver:kquery get.sign.bc
vim solver-queries.kquery

kquery-solver
可以看到最终交给约束求解器求解的一共只有3个。

2.约束文件的结构

基本结构

kquery = { array-declaration | query-command }
  • 数组声明(array-declaration)：用于声明在后续表达式中使用的位向量数组。
  • 查询命令(query-command)：用于定义应由约束求解器执行的查询。查询由一组约束（假设）、一个查询表达式以及可选的表达式和数组组成，用于在查询表达式无效时计算值。

详细结构

一般一个求解的查询命令包括5个元素:元素1为关键字"query";元素2个由[]包裹,表示一个待解约束表达式列表 ;元素3表示期望元素2合取后不满足的布尔值(即求得的解使得元素2与元素3不等);元素4由[]包裹,表示约束求解过程中,要顺带计算的表达式列表,如果元素5不存在,元素4可以不存在;如果元素5存在,又没有什么表达式需要计算时,此处应为[];元素5由[]包裹,表示元素2中需要求解的变量列表. --------引自《【简书Blog】KLEE中的约束文件解析》

简单说就是：

query 
[元素2: 待求解表达式列表] 
<元素3:元素2解析后不满足时布尔值> 
[元素4:求解过程中需要计算的表达式，可为空] 
[元素5:元素2中需要求解的变量列表]

3.将docker中的文件复制到主机查看

有时候想将Docker中处理的文件导出到主机中。使用如下命令可以达到目标。
【知乎】Docker cp命令详解：在Docker容器和主机之间复制文件/文件夹

docker cp [OPTIONS] CONTAINER:SRC_PATH DEST_PATH
# e.g. 将container a中的约束文件复制到主机的桌面中(前提是你的命令行已经在桌面中)
sudo docker cp a:/home/klee/klee_src/examples/get_sign/klee-last/solver_queries.smt2 ./
研究僧12138
关注
  • 24
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
docker-klee:KLEE 的 Docker 镜像
05-30
您可以使用clang -emit-llvm构建测试文件，然后使用 KLEE 命令klee进行测试： klee 、 ktest-tool等。 cd your/workspace docker run --rm -tiv `pwd`:/work mbrt/klee 执照 麻省理工学院请参阅文件。
符号执行(1) - 自动生成覆盖率用例之利器
lusing的专栏
10-14 1802
符号执行(1) - 自动生成覆盖率用例之利器 对于安全性要求比较高的软件，为了防止出现安全漏洞，我们不得不花大量时间写更多的测试用例来提升覆盖率。尤其是高可靠性软件需要的修正条件判定覆盖MC/DC(Modified Condition/Decision Coverage)，更是要多花不少心思。 全靠手工写，工作量太大，而且重复性工作不少。靠模糊测试命中的话效率又比较低。 那么，有没有什么办法可以将这些机械的工作做得自动化一点，机器能够帮我们设计一些测试用例呢？符号执行就是一种可用的利器。 什么是符号执行 为
KLEE简单使用
qq_42308741的博客
11-04 960
KLEE简单使用
docker使用klee(安装+基本使用)
violajie的博客
07-08 521
klee
KLEE软件分析
happygogf的专栏
01-27 1万+
KLEE软件分析 1 klee概述 1.1 符号执行概述 符号执行技术使用符号值代替数字值执行程序，得到的变量的值是由输入变 量的符号值和常量组成的表达式。符号执行技术首先由King在1976年提出 ，经过三十多年的发展，现在仍然被广泛研究，它在软件测试和程序验证中发挥着重 要作用。符号执行是一种重要的形式化方法和静态分析技术，它使用数学和逻辑 首先定义一些基本概念。程序
KLEE 使用（三）------ 使用 KLEE 为二分查找生成测试
qq_21746331的博客
09-25 581
在上一篇博文中，我们展示了如何用 KLEE 来为一个简单程序生成测试用例。在这篇博文中，我们将展示如何使用 KLEE 中的数组和断言。 0x1 测试无序数组 如下是二分查找的算法实现： int binary_search(int arr[], int size, int target) { print_data(arr, size, target); int low = 0; int high = size - 1; int mid; while (low &lt..
klee:KLEE符号执行引擎
04-28
KLEE符号虚拟机 KLEE是建立在LLVM编译器基础结构之上的符号虚拟机。 当前，有两个主要组件： 核心符号虚拟机引擎； 这负责执行支持符号值的LLVM位代码模块。 这由lib /中的代码组成。 面向支持uClibc的POSIX / ...
Klee-Docker:Klee Dockerfile 开发
06-14
Docker 是一种相对较新的技术，开发人员和系统管理员使用它来构建、发布和运行分布式应用程序。 与虚拟机相比，docker 更轻量、更高效，因为它提供了操作系统级虚拟化的额外抽象层。 您可以在阅读更多相关信息。 预...
klee-cl-docker:KLEE-CL 的 Dockefile
06-22
此存储库包含DockerFile和其他相关文件，用于为构建 Docker 容器。 跑步 首先从DockerHub获取镜像。 如果您不想这样做，请参阅“构建” $ docker pull delcypher/klee-cl-docker 现在您可以访问容器内的外壳...
ubuntu下KLEE的安装和分析GNC代码教程
04-15
ubuntu14.04下KLEE的安装和分析GNC代码教程
klee, KLEE符号执行引擎.zip
09-18
klee, KLEE符号执行引擎 KLEE符号虚拟机 KLEE 是构建在LLVM编译器基础之上的一个符号虚拟机。 目前，主要有两个组件：核心符号虚拟机引擎；负责执行带有符号值支持的LLVM位码模块。 这由 lib/中的代码组成。面向支持of的posix/li
KLEE入门教程
qq_26736193的博客
12-09 4113
本文1.首先介绍创建KLEE Docker容器的方法；2.然后介绍官网给出的一个指导实例；3.最后给出程序测试实例。 创建KLEE Docker容器 相关Dokcer的知识可以参见官网：https://docs.docker.com/get-started/ 1.创建临时KLEE Docker容器 $ docker run --rm -ti --ulimit='stack=-1:-1' ...
KLEE 使用（一）------- 测试一个简单的函数
qq_21746331的博客
09-24 1796
0x1 手动代码插桩以及编译成中间码 在编译好 KLEE 后，可以通过测试一些简单的程序来入手 KLEE 的使用。假如有如下的代码： int get_sign(int x) { if (x == 0) return 0; if (x < 0) return -1; else return 1; } KLEE 是在源代码中对需要符号化的变量进行源代码级别的插桩来进行变量符号化的，通过 klee.h 头文件中声明的 klee_make_symbolic 函数（该函数只
程序分析-klee工具分析
qq_44370676的博客
10-18 2202
klee的简单介绍
符号执行(2) - 用例搜索时间的控制与优化
lusing的专栏
10-15 483
符号执行(2) - 用例搜索时间的控制与优化 通过上一节，大家对klee符号执行的概念已经有了比较清晰的了解了。 但是，一个工具要用起来，面对的是复杂的场景，还有很多困难等着我们去克服。 生成用例可能是个很耗时的操作 第一个要强调的问题是针对复杂情况，我们对于搜索case的时间要有个明确的概念。 以上节的求最大公约数为例。当我们计算short类型的最大公约数时，用时3分32秒，生成测试用例44个。 #include "klee/klee.h" short gcd(short a, short b){
如何利用 KLEE 符号执行引擎挖掘软件漏洞
u014389734的博客
07-17 553
将符号执行应用于任意真实程序很难，你通常必须对执行环境建模，并找到有效的方法来应对不确定性和路径爆炸。动态符号执行的想法是在任何输入上执行一个软件，同时探索所有可能的执行路径，而无需指定具体值。 具体示例如下，其中输入x未知，即符号： 符号执行在所有三个执行路径(x < 0, x > 100, 0 < = x < =100)并生成三个具体的测试用例：x=-1, x=101和x=23在击中断言之后。 你不再需要手动编写测试用例，你会沿执行路径捕获断言失败和内存安全漏洞。以上
KLEE应用实例1
fjnuzs的博客
04-09 1857
原文（http://klee.github.io/tutorials/testing-function/），这个实例用来引导你完成一个最简单的测试。1 下面是一个待测试的函数，int get_sign(int x) {  if (x == 0)    return 0;  if (x &lt; 0)    return -1;  else     return 1;}这个函数就是根据输入的x，...
KLEE入门
热门推荐
vincent_nkcs的博客
12-23 1万+
简介 最近在使用KLEE工具进行软件缺陷检测时发现网上对于KLEE的介绍和使用的帖子很少，因此写此帖对KLEE的安装和使用方法做简单介绍，具体使用方法可以浏览官网http://klee.github.io/ 阅读本文你可以了解到： 什么是KLEE 如何安装KLEE 如何使用KLEE 什么是KLEE KLEE是一款开源的自动软件测试工具，基于LLVM编译底层基础，能够自动生成测试样...
KLEE在win10安装
最新发布
04-25
KLEE是基于LLVM的符号执行工具，目前只支持Linux操作系统。在Windows操作系统上进行安装会非常困难，因为它需要LLVM 3.4或更高版本以及其他的一些依赖项。虽然有一些尝试将其移植到Windows上的工作，但目前尚未被广泛支持。因此，我建议您在Linux系统上安装KLEE。 您可以参考KLEE官方文档中的安装说明，该文档提供了详细的步骤和说明，以帮助您在Linux系统上成功安装KLEE。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值