Gesamt-Schlussbericht des Verbundprojektes Deutsch - CC Gmbh

Die Filterkomponente (Filter Component) entwickelt aus den Ergebnisrelationen der
Analysekomponente einen Graphen und extrahiert aus diesem Graphen einen redundanzfreien
Datenflusspfad. Der Pfad wird in XML-Format ausgegeben. In der Präsentationskomponente
(Presentation Component) können diese Pfade visualisiert werden.
Sprachmodule: Compiler nach QUAD
Java-Bytecode JBC nach Quad
Für die Programmiersprache Java war das Sprachmodul, der Compiler vom Java-Bytecode
JBC nach Quad, in Joeq bereits vorhanden (der sogenannte JVM2QUAD-Compiler).
.NET-Bytecode CIL nach Quad
Um auch Programme in anderen Programmiersprachen als Java analysieren zu können,
müssen entsprechende Compiler nach Quad erstellt werden. Ein lohnendes Ziel für
Sicherheitsanalysen sind die auf der .NET-Plattform von Microsoft implementierten
Programmiersprachen (u. a. C#, Visual Basic .NET). Für alle diese Sprachen existieren
bereits Compiler von der Quellsprache in den .NET-Bytecode "Common Intermediate
Language" (genannt CIL), eine erweiterte Bytecodesprache (siehe auch Abbildung 2). CIL-
Bytecode dient als Zwischensprache für viele verschiedene Quellsprachen (neben den oben
genannten .NET-Sprachen auch Java und PHP) und ist Bestandteil der CLR (Common
Language Runtime), einer nach ECMA 335 vorliegenden Spezifikation für eine
Ausführungsumgebung. CLR wurde von Microsoft als Alternative zur Java VM (JVM)
vorangetrieben, es liegen dazu auch Implementierungen als Open Source vor (z. B, Mono,
MS Rotor).
Im Projekt wurde daher beschlossen, die Sicherheitsanalyse basierend auf dem .NET-
Bytecode CIL aufzusetzen, damit konnte SecFlow gleichzeitig für eine Vielzahl von
Sprachen erweitert werden. Aus dieser Tatsache entstand die Notwendigkeit für einen
entsprechenden Compiler von CIL-Bytecode in den Zwischencode Quad, dem sogenannten
CIL2Quad Compiler (vgl. Abbildungen 2 und 3).
C#
using System;
using System.IO;
namespace sample
{
class MainClass
{
public static void Main(string[]
args)
{
int[] iArray = new int[2];
Int32 i32 = new Int32();
iArray[0] = 2;
iArray[1] = i32;
if(!(iArray[1]