CodeQL C++ 中如何建模外部函数的间接数据流

在静态代码分析领域，数据流分析是识别潜在安全问题的关键技术。本文将以CodeQL C++为例，探讨如何正确建模通过外部函数传递的间接数据流问题。

问题背景

当分析C++代码时，我们经常遇到需要通过外部函数传递数据流的情况。例如，一个结构体成员被标记后，经过多个外部函数处理后，最终到达标记接收点。这种情况下，传统的直接数据流分析往往无法自动追踪完整的传播路径。

典型场景分析

考虑以下典型代码模式：

struct S {
  int data;
  int dummy;
};

S* process_mark(S* input); // 外部处理函数1
void process_mark2(S* input, S* output); // 外部处理函数2

void example() {
  S* s = new S();
  s->data = mark_source(); // 标记源
  
  S* processed = process_mark(s); // 外部处理
  mark_sink(processed->data); // 标记接收点
}

在这个场景中，我们需要确保标记能够从mark_source()通过process_mark()传播到mark_sink()。

解决方案比较

方法一：详细字段建模

最初的想法是为每个结构体字段创建单独的建模规则：

extensions:
  data:
    - ["", "", False, "process_mark", "", "", "Argument[*0].Field[data]", "ReturnValue[*].Field[data]", "mark", "manual"]

这种方法虽然准确，但存在明显缺点：

1. 需要为每个字段重复编写规则
2. 当结构体字段变更时需要同步更新规则
3. 维护成本高，容易遗漏

方法二：值保留建模

更优的解决方案是使用"value"保留模式：

extensions:
  data:
    - ["", "", False, "process_mark", "", "", "Argument[*0]", "ReturnValue[*]", "value", "manual"]

这种方法的关键优势在于：

1. 自动处理所有结构体成员
2. 维护简单，无需为每个字段单独建模
3. 保持数据流分析的完整性

技术原理

CodeQL的数据流分析引擎在处理"value"保留模式时，会：

1. 跟踪整个对象的值流
2. 自动维护对象内部字段的状态
3. 当字段被单独访问时，能够正确识别其标记状态

这种方法有效解决了通过外部函数传递对象时的数据流跟踪问题，而不需要显式指定每个字段的传播路径。

注意事项

1. 避免使用isAdditionalFlowStep来处理这种情况，因为当访问路径非空时（如跟踪已写入对象但尚未读取的字段），通过isAdditionalFlowStep添加的流不会被使用

2. 对于特别重要的场景，可以考虑结合两种方法：使用"value"保留模式作为基础，再为关键字段添加特定规则

3. 在复杂场景中，可能需要考虑对象生命周期和别名分析的影响

结论

在CodeQL C++分析中建模外部函数的间接数据流时，优先考虑使用"value"保留模式进行整体建模，这比单独处理每个字段更高效可靠。这种方法简化了分析模型的维护，同时保证了数据流分析的准确性。