💻 computer science

Mystra: Declarative Dynamic Taint Analysis via Shadow Virtual Machine

本文介绍了 Mystra，一种用于动态污点分析的声明式语言和 Shadow 虚拟机架构，它将污点语义与运行时插桩解耦，使 Shar 工具在多种 JavaScript 和 Python 运行时中，与现有解决方案相比，能够实现高准确度并显著降低开销。

原作者： Zhuohao Zhang, Junkun Liu, Rui Yang, Yinzhi Cao, Ziyang Li

发布于 2026-07-15

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Zhuohao Zhang, Junkun Liu, Rui Yang, Yinzhi Cao, Ziyang Li

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图捕捉一个调皮的幽灵（一个安全漏洞），它正溜进一座繁忙的大城市（一个计算机程序）。这个幽灵最初只是信件中一滴无害的墨水（不可信数据），但如果它到达了一扇特定的门（如读取文件的敏感操作），它就能摧毁整座大楼。

长期以来，安全专家一直尝试用两种主要方法来捕捉这个幽灵，而这两种方法都有很大的问题。一种方法是像在任何人入住前就重写城市的蓝图一样（源码重写）。这种方法很安全，但它会让城市运行得极其缓慢——速度慢了 20 到 50 倍！另一种方法是雇佣一名只熟悉特定街区的特殊侦探（引擎原生）。这种方法很快，但如果城市的布局发生了变化，或者你搬到了另一个街区，这位侦探就必须被解雇并重新培训。

于是，出现了 Mystra 和 Shar，这是一对来自约翰斯·霍普金斯大学的新型调查员，他们决定在真实的城市旁边建造一座“影子城市”。

影子城市 (Shadow Virtual Machine)

研究人员并没有修改真实的城市或重写其蓝图，而是构建了一个并行的、隐形的“影子虚拟机”，它与真实程序并排运行。把它想象成一座镜像真实城市每一步动作的幽灵孪生城市。

当真实的业务发生时——比如一个函数调用另一个函数，或者一个文件被打开——影子城市会立即察觉。但神奇之处在于：影子城市并不关心真实的城市是如何建造的。无论真实的城市是在运行一个快速的现代引擎（如 Node.js 中的 V8）还是一个较旧的引擎（如 CPython），影子城市看到的都是完全相同的“事件”。这就像拥有一个通用翻译器，让调查员可以在不被特定引擎的复杂机械所纠缠的情况下观察行动。

规则手册 (Mystra)

仅仅观察城市是不够的；你需要知道该寻找什么。这就是 Mystra 发挥作用的地方。Mystra 是一种特殊的、易于阅读的语言（一种“声明式”语言），安全专家可以用它编写简单的规则，例如：“如果一个文件路径来自用户，并且该路径被用于打开文件，请拉响警报！”

论文指出，以前的工具过于僵化，迫使专家编写与特定引擎绑定的复杂且混乱的代码。Mystra 则不同。它就像一套可以卡在任何引擎上的乐高说明书。

“注入”与“提取”技巧： 处理“高阶函数”（如 JavaScript 中的 Array.map）是它最酷的功能之一。想象一个工厂，一台机器接收一个盒子，将盒子交给一名工人进行涂漆，然后将盒子放回原处。Mystra 可以说：“将盒子的‘脏污’注入到工人的手中，并在工人完成工作后，将那份‘脏污’提取回盒子上。”这使得系统即使在数据跳入回调函数时也能追踪“幽灵”，而之前的工具在处理这种情况时往往会陷入混乱。

结果：快速且准确

研究人员构建了一个名为 Shar 的工具来测试这个想法。他们不仅仅是猜测；他们通过现实世界的基准测试进行了衡量。

速度： 当他们在 Node.js 上运行 Shar 时，程序的运行速度仅减慢了 1.85 倍。相比之下，旧的源码重写工具比 Shar 慢了 22.7 倍！在相同的负载下，Shar 也比之前的最佳工具 NodeMedic-FINE 快了 22.7 倍。
准确性： 在一个包含 493 个已知漏洞的测试集（称为 SecBench.js）上，Shar 抓住了 95.5% 的漏洞。更棒的是，当他们测试已修复版本的软件（即漏洞已被修补的版本）时，Shar 没有产生任何误报。它一次也没有虚报过警。
可移植性： 团队证明了他们的想法在不同的世界中同样奏效。他们将相同的核心引擎和规则成功移植到了三个不同的运行时环境：V8（用于 Node.js 和 Chrome）、SpiderMonkey（用于 Firefox）和 CPython（用于 Python）。他们只需要为每个环境编写一个小的“适配器”；核心大脑保持不变。

他们没有解决的问题

了解这个工具不做什么非常重要。论文明确指出，Shar 不会追踪“隐式流”（implicit flows）。想象一下，如果幽灵没有留下墨迹的痕迹，而是通过改变天空的颜色来发出信号，那么 Shar 就看不到了。Shar 不观察天空，它只观察墨迹。作者指出，追踪这些隐形信号会极大地降低系统速度（在其他研究中减速了 36.7 倍），因此他们目前选择专注于可见的痕迹。

他们还发现，如果一个程序将一段文本拆分成微小的碎片（例如将一句话拆分为单词），那么与原始“脏”文本的联系有时会丢失。这是此类追踪技术的已知局限性，他们建议未来的工作可能需要研究逐字符追踪来解决这个问题。

底线

论文将 Shar 和 Mystra 呈现为不仅仅是一个能解决所有安全问题的魔杖，而是数据追踪领域的一个重大进步。通过将我们追踪的内容（规则）与我们观察程序的方式（影子虚拟机）分离，他们创建了一个快速、准确且灵活的系统。

在测试中，他们证明了你可以拥有一种既是速度达人又是敏锐侦探的安全工具，能够在不显著降低受保护程序速度的情况下，识别出 95.5% 的漏洞。这证明了你不再需要在速度与安全之间做二选一。

技术摘要：Mystra 与 Shar

问题陈述

针对 JavaScript 和 Python 等解释型语言的动态污点分析（DTA）面临着根本性的架构碎片化问题。现有的系统通常将观察宿主运行时操作、维护并行污点状态以及定义污点传播的能力耦合在单一的插桩机制中。

源码重写系统（例如 Jalangi2、NodeMedic）在执行前对代码进行插桩。虽然这种方式与引擎无关，但它引入了一个源码转换边界，要求模块必须可用且经过转译（通常通过 Babel）。这种方法放弃了原生和即时编译（JIT）执行，导致性能出现数量级的下降。
引擎原生系统（例如 Foxhound、PanoptiChrome）通过修改运行时表示或执行句柄来获取可见性。然而，它们的影子状态、传播逻辑和插桩与特定引擎的内部实现紧密绑定。这使得分析逻辑与引擎无法分离，阻碍了其在不同执行层、嵌入环境或语言之间的可移植性。

核心问题在于缺乏一种运行时无关的执行模型用于 DTA。不同的运行时通过变化的字节码、栈和编译策略暴露操作，但污点分析需要从每个运行时中获取相同的逻辑信息（身份、参数、结果、上下文）。当前的方法未能将宿主操作的观察与污点状态转移的语义分离，导致高开销或低可移植性。

方法论

作者提出了一种由三个主要部分组成的解决方案：影子虚拟机（Shadow VM）、Mystra 声明式规范语言以及 Shar 实现框架。

1. 影子虚拟机 (Shadow VM)

影子虚拟机是一个与多种宿主运行时（如 V8、SpiderMonkey、CPython）并行执行的并行虚拟机。它维护一个并行状态 $\sigma = \langle S, H, G, C \rangle$ ：

影子栈 ( $S$ )：按事件嵌套顺序跟踪活跃的操作帧，将操作数映射到污点标识符。它通过与宿主的逻辑延续同步，处理非局部控制转移（异常、异步挂起）。
影子堆 ( $H$ )：跟踪跨帧持久的对象属性，将对象地址/属性键对映射到污点标识符，以避免对整个对象进行过度污点化。
溯源有向无环图 ( $G$ )：记录污点的来源，将流节点链接到操作数污点，从而重建从源到汇的路径。
规范上下文 ( $C$ )：提供用于跨调用边界持久化数据的命名存储（例如文件 I/O），弥补影子栈/堆可能丢失连接的缺口。

影子虚拟机通过适配器由宿主接口进行交互。该接口标准化了六种能力：操作事件（进入/退出）、操作数寻址、操作标识、对象生命周期、运行时查询和延续同步。这使得影子虚拟机能够统一观察解释型、原生和 JIT 编译的执行，而无需强制去优化。

2. Mystra：声明式污点规范语言

Mystra 是一种具有形式化操作语义的编译型声明式领域特定语言（DSL），旨在驱动影子虚拟机。它将“追踪什么”与“如何追踪”分离。

核心构建块：规则定义了 source（入口点）、sink（危险操作）、propagate（操作间的流转）和 clear（净化）。
高阶函数 (HOF)：一个关键创新是 inject 和 extract 操作。这些操作通过在不透明的原生循环与可见的用户定义回调之间建立桥梁，来模拟原生高阶函数（例如 Array.map）。inject 将污点从容器传输到回调参数；extract 将返回的污点聚合回容器。
守卫谓词：规则可以包含 where 子句，根据运行时谓词（例如检查对象是否为原型）来约束动作，从而减少误报。
规范上下文：set 操作允许规则跨越边界持久化污点（例如将文件路径写入全局存储并在稍后检索它）。
编译：Mystra 规则被预编译为二进制表示（.tbin）。编译器进行类型检查并将动作调度到预处理和后处理钩子指令列表中，从而实现 $O(1)$ 调度且无需运行时解析。

3. Shar 实现

Shar 是实现该架构的具体 DTA 框架。它具有一个共享的核心引擎（污点引擎、解释器、规则加载器、DAG、上下文）和运行时特定的适配器。作者在三个正交轴上实例化了 Shar：

嵌入：Node.js 和 Chromium 中的 V8。
引擎：SpiderMonkey。
语言：CPython。

主要贡献

影子 VM 抽象：一种运行时无关的抽象机器，将运行时观察与污点状态及转移分离，实现了跨引擎和语言的可移植性。
Mystra 语言：一种具有形式化操作语义的编译型声明式语言，支持丰富的污点行为，包括通过 inject/extract 实现的原生高阶函数桥接。
Shar 框架：一个多语言 DTA 框架，证明了其通过共享核心在 V8 (Node.js/Chromium)、SpiderMonkey 和 CPython 之间的可移植性。
系统性评估：在检测准确性、性能开销、表达能力和可移植性方面进行了全面的基准测试。

结果

检测准确性

在 SecBench.js（涵盖四个 CWE 类别的 493 个在范围内 CVE）上进行的评估显示：

召回率：Shar 实现了 95.5% 的整体召回率。
精确度：在补丁版本测试中未观察到误报。
对比：在代码注入和命令注入的子集（共 136 例）中，Shar 检测到了 97.1% (132/136)，显著优于 NodeMedic-FINE（后者仅检测到 63.9% (87/136)）。Shar 独特地检测到了 NodeMedic-FINE 漏掉的 46 个案例，这主要是由于 NodeMedic 无法通过 Babel 对某些包进行插桩，或者在到达汇点前丢失了污点。
真实世界漏洞：Shar 成功检测到了 2024–2026 年间披露的 Node.js、Chromium 和 CPython 的 12 个真实漏洞中的 11 个。其中一个案例 (n8n) 因在没有显式桥接规则的情况下难以跨越 SQL 持久化边界而仅被部分检测。

性能

基于 NodeMedic 的基准测试：

开销：Shar 相比于原生 Node.js 仅产生了 1.85× 的运行时开销。
对比：这比 NodeMedic-FINE (41.95×) 低了 22.7×，并且显著优于像 Jalangi 这样的源码重写工具 (28.78×)。
JIT 影响：即使在启用 Maglev JIT 的情况下，开销依然保持在较低水平 (较基准线 1.28×)，证明了影子虚拟机不会强制触发去优化。

表达能力与可移植性

规则合成：作者展示了 LLM 可以合成有效的 Mystra 规则。通过一轮诊断反馈，32 个模式的合成规则通过率从 19/32 提高到了 29/32。
简洁性：建模 Node.js 标准库的 Mystra 规则覆盖了 CodeQL 建模的 97.2% 的 API，但代码行数仅为后者的 1/18 (63 行 LoC 对比 1,149 行 LoC)。
可移植性：共享核心（3,941 行 LoC）在 V8、SpiderMonkey 和 CPython 之间保持完全一致。移植工作集中在适配器和运行时特定的绑定上（例如 CPython 适配器仅 446 行 LoC），证实了运行时无关的设计。

意义

本文声称，Mystra 和 Shar 代表了从重插桩、特定引擎的 DTA 向运行时无关、声明式方法的转变。通过将观察机制（影子 VM）与污点语义（Mystra 规则）分离，该系统实现了：

可移植性：能够以极小的修改将相同的分析逻辑部署到不同的引擎（V8、SpiderMonkey）和语言（JS、Python）中。
高性能：与源码重写方法相比，大幅降低了开销，使 DTA 在生产环境和 JIT 优化代码中变得可行。
表达能力：能够以声明式方式建模复杂行为，如高阶函数回调和跨边界状态（文件 I/O），而无需硬编码引擎特定的逻辑。
AI 就绪性：Mystra 的形式化语义和简洁语法使其适用于大语言模型（LLM）的自动化合成，有助于快速创建针对新漏洞类别的规则。

作者总结道，尽管在隐式流、字符串分解和外部存储边界方面仍存在挑战，但该架构为下一代动态污点分析提供了可扩展的基础。