Symbolic Execution and Program Loops

Mgr. Marek Trtík, Ph.D.

Doctoral thesis

Abstract:

Symbolické vykonávání programů je druh analýzy programů, který lze použít jak pro automatické generování testovacích vstupů, tak i pro přímé hledání defektů v programech. Cílem této analýzy je symbolicky vykonat ty cesty v programu, které lze též vykonat standardním způsobem pro konkrétní vstupy. Počty těchto vykonatelných cest programem jsou typicky astronomicky velké dokonce i pro relativně malé a jednoduché programy. Proto hovoříme o tak zvaném problému exploze cest. Jedním z nejvýznamnějším zdrojů tohoto problému jsou cykly v programech. V této disertaci jsou představeny tři nové analýzy programů založené na symbolické vykonávání. Tyto techniky bojují s problémem exploze cest tak, že se zaměřují na cykly v programech. Primární cíl těchto analýz je hledání defektů v analyzovaném programu. V praxi je typicky možné symbolicky vykonat pouze nepatrný zlomek všech vykonatelných cest programu v předem vyhrazeném čase a paměti. Proto, místo masivního prohledávání cest v programu dvě ze zmíněných analýz raději zkouší nalézt vykonatelnou cestu v programu vedoucí do předem dané lokace (řádku) v programu, pokud taková cestu vůbec existuje. Od zvolené lokace se očekává, že je důležitá pro nalezení nějakého defektu v programu. Například lokace, kde program provádí dereferenci ukazatele, přistupuje k poli, nebo kde se ověřuje jistý invariant programu, jsou všechno dobří kandidáti. Třetí analýza se snaží dosáhnout primárního cíle z jiného úhlu. Snaží se zvýšit rychlost, kterou symbolické vykonávání prohledává cesty v programu. Pokud zvýšíme počet vykonaných cest programu v rámci daných zdrojů, pak také můžeme najít více defektů v programu. Hlavní myšlenky, na nichž jsou zmíněné analýzy založeny, lze stručně vyjádřit následovně. První analýza nejprve odvodí z analyzovaného programu kolekci soustav omezujících podmínek, jež pak používá k navigaci symbolického vykonávání programu k dané cílové lokaci. Při příchodu na cyklus, analýza iterativně řeší příslušný systém podmínek aby mohla rozhodnout, kterou cestou cyklem se dát, nebo případně zda pokračovat ve vykonávání za tím cyklem. Druhá analýza konstruuje pro daný program a cílovou lokaci v něm netriviální nutnou podmínku k dosažení této lokace. Zejména, vykonání programu pro libovolný konkrétní vstup, pro nějž ta nutná podmínka není splnitelná, zaručeně mine cílovou lokaci. Konstrukce té podmínky je založena na sumarizování efektů cyklů podél acyklických cest v programu vedoucích do cílové lokace. Třetí analýza probíhá ve dvou krocích. Nejprve se zanalyzují cyklické cesty v grafu toku řízení daného programu s cílem vypočíst deklarativní parametrický popisy všech možných stavů programu, se kterými je možné tyto cyklické cesty opustit po libovolném počtu iterací podél nich. Ve druhém kroku vykonáme program symbolicky spolu s popisy vypočtenými v předchozím kroku. Použití popisů vede jednak ke ``kompresi" vykonaných cest a jednak k jejich souběžnému vykonávání. Všechny výše popsané analýzy používají stejný technický aparát, který nazýváme koncept čítačů cest. Poskytuje nám účinný způsob, jak uchopit cykly v programu. Konkrétně, čítače cest umožňují analýzám vyjádřit obsah paměti pomocí funkcí počtů vykonání určitých cest uvnitř cyklů relativně k vykonávání dalších cest v programu. Kromě zmíněného problému exploze cest má symbolické vykonávání i další problémy. Jedním z nich je tak zvaný problém nejednoznačného odkazování do paměti. Jelikož symbolické vykonávání spouští program pro vstupní symboly místo konkretních čísel, může se tak snadno dostat do situace, ve které má číst nebo zapisovat do nejednoznačně

Abstract:

definované adresy, obsahující nějaké vstupní symboly. Tato nejednoznačnost je právě zdrojem celého problému. V disertaci dále představujeme symbolickou paměť podporující symbolické ukazatele. Tato paměť bojuje s problém nejednoznačného odkazování do paměti tak, že ukládá tak zvané podmíněné hodnoty, používá nový segment--offset--plane model paměti a používá vyrovnávací paměť pro efektivní řešení dotazů na možné kolidování adres ukazatelů.

Abstract:

Symbolic execution is a program analysis which can be effectively used for automated generation of test inputs and for direct finding of defects in programs. The goal of symbolic execution is to symbolically execute those program paths which can be followed by standard execution for concrete inputs. Number of such executable program paths is typically astronomically large even for relatively small and simple programs. So we speak about the path explosion problem. One of the most important sources of the issue are program loops. We introduce three new program analyses based on symbolic execution. They all deal with the path explosion problem by focussing on program loops. The primary goal of these analyses is to find defects in an analysed program. It is typically possible in practice to symbolically execute only a small fraction of all executable program paths in a reasonable amount of time and memory. Therefore, rather than exhaustive exploration of program paths two of the analyses try to find a program path which leads to an a priori given program location (line), if such a path exists. The given target location is typically supposed to be important for finding a defect. For example, locations where a program applies a pointer dereference, accesses an array, or where it checks a certain assertion are good candidates. The third analysis approaches the primary goal from a different angle. It tries to increase a speed in which symbolic execution explores program paths. If we increase the number of executed paths for a given resources, we can possibly find more program defects. We can briefly describe main ideas the mentioned program analyses are based on as follows. The first analysis infers a collection of constraint systems from an executed program and uses them to steer symbolic execution towards a given target location. On reaching a loop it iteratively solves the appropriate constraint system to find out which path through this loop to take, or, alternatively, whether to continue below the loop. The second analysis produces for a given program and a target location in it a nontrivial necessary condition for reaching it. In particular, execution of the program for any concrete input for which the computed condition is not satisfiable is guaranteed to miss the target location. Construction of the condition is based on computation of summaries of program loops along acyclic paths leading to the target location. The third analysis proceeds in two steps. First, we analyse cyclic paths in the control flow graph of a given program to compute declarative parametric descriptions of all possible program states, which may leave individual cyclic paths after any number of iterations along them. In the second step, we execute the program symbolically with the descriptions in hand. A use of the descriptions leads to both a ``compression" of executed paths and their simultaneous execution. All the described analyses use the same technical background which we call a concept of path counters. It provides an effective way how to grasp program loops. Namely, path counters allows the analyses to express memory content by functions of execution counts of particular program paths inside loops relative to executions of other program paths. Besides the path explosion problem symbolic execution has other practical issues. One of them is the so called variable storage-referencing problem. Since symbolic execution executes a program with input symbols instead of concrete input numbers, we can easily get to a situation in which we have to read or write to an ambiguous address comprising some input symbols. This ambiguity is the source of the issue. We further introduce a new representation of symbolic memory supporting symbolic pointers. This memory deals with the issue of variable storage-referencing by storing so called conditional values, by using a new segment--offset--plane memory model, and by an effective caching of pointer aliasing queries.

Keywords

Symbolic execution, Program loops, Program location reachability, Symbolic memory.

Language used: English

Date on which the thesis was submitted / produced: 31. 10. 2013

Thesis defence

• Date of defence: 25. 3. 2014
• Supervisor: prof. RNDr. Antonín Kučera, Ph.D.
• Reader: Prof. Daniel Kröning, Nikolai Tillmann

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Informatics