[论文解读] Z3str3: A String Solver with Theory-aware Branching

Murphy Berzish, Yunhui Zheng+1 more|arXiv (Cornell University)|Apr 26, 2017

Web Application Security Vulnerabilities参考文献 12被引用 11

一句话总结

Z3str3 是一个高性能的字符串 SMT 求解器，引入了理论感知分支——一种修改 Z3 的 DPLL(T) SAT 求解器以在搜索过程中优先处理更简单的理论字面量的技术。通过将理论感知活跃度整合到分支启发式中，Z3str3 在工业基准测试（如 Kaluza、PISA 和 IBM AppScan）中优于 Z3str2、CVC4、Norn、S3 和 S3P，实现了更快的求解时间，并减少了错误，提升了鲁棒性。

ABSTRACT

We present a new string SMT solver, Z3str3, that is faster than its competitors Z3str2, Norn, CVC4, S3, and S3P over a majority of three industrial-strength benchmarks, namely Kaluza, PISA, and IBM AppScan. Z3str3 supports string equations, linear arithmetic over length function, and regular language membership predicate. The key algorithmic innovation behind the efficiency of Z3str3 is a technique we call theory-aware branching, wherein we modify Z3's branching heuristic to take into account the structure of theory literals to compute branching activities. In the traditional DPLL(T) architecture, the structure of theory literals is hidden from the DPLL(T) SAT solver because of the Boolean abstraction constructed over the input theory formula. By contrast, the theory-aware technique presented in this paper exposes the structure of theory literals to the DPLL(T) SAT solver's branching heuristic, thus enabling it to make much smarter decisions during its search than otherwise. As a consequence, Z3str3 has better performance than its competitors.

研究动机与目标

• 为解决涉及复杂字符串约束的工业工作负载中字符串 SMT 求解的性能差距。
• 通过使 DPLL(T) 分支启发式对理论字面量的结构复杂度敏感，提升字符串求解器的搜索效率。
• 通过减少先前工具（如 Norn 和 S3）中出现的崩溃和错误响应，提升鲁棒性和正确性。
• 支持更快求解包含长度约束和正则表达式字符串约束的问题，这些在实际安全分析中很常见。
• 提供一个可扩展、高效且正确地集成在 Z3 SMT 框架中的原生字符串求解器。

提出的方法

• 理论感知分支通过在字面量活跃度中增加一个理论感知组件（$A_t$）来扩展 Z3 的核心 SAT 求解器，优先处理更简单的理论字面量。
• 该技术为避免引入新变量的配置分配更高的 $A_t$ 值（0.5），为更复杂的拆分分配更低的值（0.1）。
• 同时，为将变量等同于常量字符串的字面量分配较小的正 $A_t$ 值（0.2），以优先处理更简单的统一操作。
• 该方法直接集成到 Z3 的 DPLL(T) 架构中，将理论字面量的结构暴露给 SAT 求解器的分支决策过程。
• 一种理论感知的案例拆分优化高效地表示布尔抽象中的互斥布尔变量。
• 求解器支持字符串方程、长度约束和正则语言成员关系，符合 CVC4 字符串 SMT 标准。

实验结果

研究问题

• RQ1 通过理论感知分支引导 DPLL(T) 搜索，是否能提升在工业字符串基准测试中的求解性能？
• RQ2 优先处理更简单的理论字面量配置（如直接等式而非变量拆分）是否能带来更快的收敛？
• RQ3 在真实世界的字符串约束问题中，Z3str3 与 Z3str2、CVC4、Norn、S3 和 S3P 相比，在性能和正确性方面表现如何？
• RQ4 理论感知分支在多大程度上减少了搜索空间的探索并提升了求解时间？
• RQ5 理论感知分支是否能通过减少崩溃和错误响应来提升字符串求解器的鲁棒性？

主要发现

• 在 Kaluza 基准测试中，Z3str3 解决了 34,885 个 SAT 和 11,786 个 UNSAT 问题，总求解时间优于 Z3str2、CVC4、Norn、S3 和 S3P。
• 在 PISA 基准测试中，Z3str3 正确解决了所有问题，而 S3 在三个问题上错误报告为 UNSAT，并在一个问题上超时。
• 在 AppScan 基准测试中，Z3str3 无错误地解决了所有问题，而 S3 在两个问题上返回 UNKNOWN，并在另外四个问题上生成了无效模型。
• Z3str3 仅有 84 次超时（20 秒限制），而 CVC4 有 193 次错误，Norn 有 276 次超时，表明其鲁棒性更优。
• Z3str3 在 Kaluza 基准测试中的总求解时间为 5,275.11 秒，显著快于 Norn（109,280.76 秒）和 S3（10,544.06 秒）。
• Z3str3 在所有三个基准测试中均为最快工具，Z3str2 和 CVC4 虽具竞争力但整体更慢，而 Norn 和 S3 显现出严重的正确性和性能问题。