#define NULL ((void *)0)
typedef unsigned long size_t; // Customize by platform.
typedef long intptr_t;
typedef unsigned long uintptr_t;
typedef long scalar_t__; // Either arithmetic or pointer type.
/* By default, we understand bool (as a convenience). */
typedef int bool;
#define false 0
#define true 1

/* Forward declarations */

/* Type definitions */
typedef int uint8_t;
typedef int uint16_t;
typedef int int8_t;

/* Variables and functions */
int /*<<< orphan*/ c_aes_encrypt(int *, int *);
int /*<<< orphan*/ c_gcm_galois_mult(int *, int *);
int /*<<< orphan*/ c_gcm_iv_incr(int *);
uint8_t c_gcm_aes_decrypt(uint8_t *iv, uint8_t *ekey, uint8_t *hash_const,
                          uint8_t taglen, uint8_t *tag, uint16_t ctlen,
                          uint8_t *ct) {
  uint8_t i;
  uint8_t offset;
  uint8_t limit;
  uint8_t end;
  int8_t match = 1;
  uint8_t iv_const[16];
  uint8_t crypt_work[16];
  uint8_t tag_work[16];
  for (i = 0; i < 8; i++) {
    ((uint16_t *)iv_const)[i] = ((uint16_t *)iv)[i];
    ((uint16_t *)tag_work)[i] = 0;
  }
  c_aes_encrypt(ekey, iv_const);
  end = ctlen >> 3;
  for (offset = 0; offset < end; offset += 16) {
    limit = end - offset;
    limit = limit > 16 ? 16 : limit;
    c_gcm_iv_incr(iv);
    for (i = 0; i < 8; i++) {
      ((uint16_t *)crypt_work)[i] = ((uint16_t *)iv)[i];
    }
    c_aes_encrypt(ekey, crypt_work);
    for (i = 0; i < limit; i++) {
      tag_work[i] ^= ct[offset + i];
      ct[offset + i] ^= crypt_work[i];
    }
    c_gcm_galois_mult(tag_work, hash_const);
  }
  tag_work[14] ^= ctlen >> 8;
  tag_work[15] ^= ctlen & 0x00FF;
  c_gcm_galois_mult(tag_work, hash_const);
  taglen >>= 3;
  for (i = 0; i < taglen; i++) {
    tag_work[i] ^= iv_const[i];
    if (tag_work[i] != tag[i]) {
      match = 0;
    }
  }
  return match;
}


x86 assembly (clang, -O0):
<c_gcm_aes_decrypt>:
push   %rbp
mov    %rsp,%rbp
sub    $0x110,%rsp
mov    0x10(%rbp),%rax
mov    %rdi,-0x8(%rbp)
mov    %rsi,-0x10(%rbp)
mov    %rdx,-0x18(%rbp)
mov    %ecx,-0x1c(%rbp)
mov    %r8,-0x28(%rbp)
mov    %r9d,-0x2c(%rbp)
movl   $0x1,-0x40(%rbp)
movl   $0x0,-0x30(%rbp)
cmpl   $0x8,-0x30(%rbp)
jge    119e <c_gcm_aes_decrypt+0x6e>
mov    -0x8(%rbp),%rax
movslq -0x30(%rbp),%rcx
mov    (%rax,%rcx,4),%ecx
movslq -0x30(%rbp),%rax
mov    %ecx,-0x80(%rbp,%rax,4)
movslq -0x30(%rbp),%rax
movl   $0x0,-0x100(%rbp,%rax,4)
mov    -0x30(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x30(%rbp)
jmp    1164 <c_gcm_aes_decrypt+0x34>
mov    -0x10(%rbp),%rdi
lea    -0x80(%rbp),%rsi
call   1050 <c_aes_encrypt@plt>
mov    -0x2c(%rbp),%eax
sar    $0x3,%eax
mov    %eax,-0x3c(%rbp)
movl   $0x0,-0x34(%rbp)
mov    -0x34(%rbp),%eax
cmp    -0x3c(%rbp),%eax
jge    12c9 <c_gcm_aes_decrypt+0x199>
mov    -0x3c(%rbp),%eax
sub    -0x34(%rbp),%eax
mov    %eax,-0x38(%rbp)
cmpl   $0x10,-0x38(%rbp)
jle    11ea <c_gcm_aes_decrypt+0xba>
mov    $0x10,%eax
mov    %eax,-0x104(%rbp)
jmp    11f3 <c_gcm_aes_decrypt+0xc3>
mov    -0x38(%rbp),%eax
mov    %eax,-0x104(%rbp)
mov    -0x104(%rbp),%eax
mov    %eax,-0x38(%rbp)
mov    -0x8(%rbp),%rdi
call   1030 <c_gcm_iv_incr@plt>
movl   $0x0,-0x30(%rbp)
cmpl   $0x8,-0x30(%rbp)
jge    123a <c_gcm_aes_decrypt+0x10a>
mov    -0x8(%rbp),%rax
movslq -0x30(%rbp),%rcx
mov    (%rax,%rcx,4),%ecx
movslq -0x30(%rbp),%rax
mov    %ecx,-0xc0(%rbp,%rax,4)
mov    -0x30(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x30(%rbp)
jmp    120c <c_gcm_aes_decrypt+0xdc>
mov    -0x10(%rbp),%rdi
lea    -0xc0(%rbp),%rsi
call   1050 <c_aes_encrypt@plt>
movl   $0x0,-0x30(%rbp)
mov    -0x30(%rbp),%eax
cmp    -0x38(%rbp),%eax
jge    12ab <c_gcm_aes_decrypt+0x17b>
mov    0x10(%rbp),%rax
mov    -0x34(%rbp),%ecx
add    -0x30(%rbp),%ecx
movslq %ecx,%rcx
mov    (%rax,%rcx,4),%ecx
movslq -0x30(%rbp),%rax
xor    -0x100(%rbp,%rax,4),%ecx
mov    %ecx,-0x100(%rbp,%rax,4)
movslq -0x30(%rbp),%rax
mov    -0xc0(%rbp,%rax,4),%edx
mov    0x10(%rbp),%rax
mov    -0x34(%rbp),%ecx
add    -0x30(%rbp),%ecx
movslq %ecx,%rcx
xor    (%rax,%rcx,4),%edx
mov    %edx,(%rax,%rcx,4)
mov    -0x30(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x30(%rbp)
jmp    1251 <c_gcm_aes_decrypt+0x121>
lea    -0x100(%rbp),%rdi
mov    -0x18(%rbp),%rsi
call   1040 <c_gcm_galois_mult@plt>
mov    -0x34(%rbp),%eax
add    $0x10,%eax
mov    %eax,-0x34(%rbp)
jmp    11bb <c_gcm_aes_decrypt+0x8b>
mov    -0x2c(%rbp),%eax
sar    $0x8,%eax
xor    -0xc8(%rbp),%eax
mov    %eax,-0xc8(%rbp)
mov    -0x2c(%rbp),%eax
and    $0xff,%eax
xor    -0xc4(%rbp),%eax
mov    %eax,-0xc4(%rbp)
lea    -0x100(%rbp),%rdi
mov    -0x18(%rbp),%rsi
call   1040 <c_gcm_galois_mult@plt>
mov    -0x1c(%rbp),%eax
sar    $0x3,%eax
mov    %eax,-0x1c(%rbp)
movl   $0x0,-0x30(%rbp)
mov    -0x30(%rbp),%eax
cmp    -0x1c(%rbp),%eax
jge    136b <c_gcm_aes_decrypt+0x23b>
movslq -0x30(%rbp),%rax
mov    -0x80(%rbp,%rax,4),%ecx
movslq -0x30(%rbp),%rax
xor    -0x100(%rbp,%rax,4),%ecx
mov    %ecx,-0x100(%rbp,%rax,4)
movslq -0x30(%rbp),%rax
mov    -0x100(%rbp,%rax,4),%eax
mov    -0x28(%rbp),%rcx
movslq -0x30(%rbp),%rdx
cmp    (%rcx,%rdx,4),%eax
je     1358 <c_gcm_aes_decrypt+0x228>
movl   $0x0,-0x40(%rbp)
jmp    135d <c_gcm_aes_decrypt+0x22d>
mov    -0x30(%rbp),%eax
add    $0x1,%eax
mov    %eax,-0x30(%rbp)
jmp    130f <c_gcm_aes_decrypt+0x1df>
mov    -0x40(%rbp),%eax
add    $0x110,%rsp
pop    %rbp
ret

x86 assembly (clang, -O2):
<c_gcm_aes_decrypt>:
push   %rbp
push   %r15
push   %r14
push   %r13
push   %r12
push   %rbx
sub    $0x118,%rsp
mov    %r9d,%r14d
mov    %r8,%rbx
mov    %ecx,%ebp
mov    %rdx,0x8(%rsp)
mov    %rsi,%rax
xorps  %xmm0,%xmm0
movaps %xmm0,0x20(%rsp)
movaps %xmm0,0x10(%rsp)
movdqu (%rdi),%xmm0
mov    %rdi,0x68(%rsp)
movdqu 0x10(%rdi),%xmm1
movdqa %xmm0,0xd0(%rsp)
movdqa %xmm1,0xe0(%rsp)
lea    0xd0(%rsp),%rsi
mov    %rax,0x70(%rsp)
mov    %rax,%rdi
call   1050 <c_aes_encrypt@plt>
cmp    $0x8,%r14d
jl     13d6 <c_gcm_aes_decrypt+0x2a6>
mov    %rbp,0x58(%rsp)
mov    %rbx,0x60(%rsp)
mov    0x150(%rsp),%rbx
mov    %r14d,0x4(%rsp)
mov    %r14d,%r12d
shr    $0x3,%r12d
lea    0x10(%rbx),%r14
xor    %eax,%eax
mov    %r12,%rcx
xor    %ebp,%ebp
jmp    120c <c_gcm_aes_decrypt+0xdc>
nopl   0x0(%rax,%rax,1)
lea    0x10(%rsp),%rdi
mov    0x8(%rsp),%rsi
call   1040 <c_gcm_galois_mult@plt>
add    $0x10,%rbp
mov    0x88(%rsp),%rax
add    $0x1,%rax
add    $0x40,%r14
mov    0x80(%rsp),%rcx
add    $0xfffffffffffffff0,%rcx
add    $0x40,%rbx
cmp    %r12,%rbp
jae    13bf <c_gcm_aes_decrypt+0x28f>
mov    %rbp,0x78(%rsp)
cmp    $0x10,%rcx
mov    $0x10,%r15d
mov    %rcx,0x80(%rsp)
cmovb  %rcx,%r15
cmp    $0x2,%r15
mov    $0x1,%ecx
cmovl  %rcx,%r15
mov    %rax,0x88(%rsp)
shl    $0x4,%rax
mov    %r12,%r13
sub    %rax,%r13
cmp    $0x10,%r13
mov    $0x10,%eax
cmovae %rax,%r13
cmp    $0x2,%r13
cmovl  %rcx,%r13
mov    %r12,%rbp
mov    0x68(%rsp),%r12
mov    %r12,%rdi
call   1030 <c_gcm_iv_incr@plt>
movdqu (%r12),%xmm0
movdqu 0x10(%r12),%xmm1
mov    %rbp,%r12
mov    0x78(%rsp),%rbp
movdqa %xmm0,0x90(%rsp)
movdqa %xmm1,0xa0(%rsp)
mov    0x70(%rsp),%rdi
lea    0x90(%rsp),%rsi
call   1050 <c_aes_encrypt@plt>
mov    %r12,%rax
sub    %rbp,%rax
jle    11d0 <c_gcm_aes_decrypt+0xa0>
cmp    $0x10,%rax
mov    $0x10,%ecx
cmovae %rcx,%rax
cmp    $0x4,%r13
jae    12d0 <c_gcm_aes_decrypt+0x1a0>
xor    %esi,%esi
jmp    13a0 <c_gcm_aes_decrypt+0x270>
nopw   0x0(%rax,%rax,1)
mov    %r13d,%edx
and    $0x1c,%edx
add    $0xfffffffffffffffc,%rdx
mov    %rdx,%rcx
shr    $0x2,%rcx
add    $0x1,%rcx
test   %rdx,%rdx
je     1352 <c_gcm_aes_decrypt+0x222>
and    $0x1c,%r15d
add    $0xfffffffffffffffc,%r15
shr    $0x2,%r15
add    $0x1,%r15
and    $0xfffffffffffffffe,%r15
xor    %edx,%edx
movups -0x10(%r14,%rdx,4),%xmm0
movaps 0x10(%rsp,%rdx,4),%xmm1
xorps  %xmm0,%xmm1
movaps %xmm1,0x10(%rsp,%rdx,4)
xorps  0x90(%rsp,%rdx,4),%xmm0
movups %xmm0,-0x10(%r14,%rdx,4)
movdqu (%r14,%rdx,4),%xmm0
movdqa 0x20(%rsp,%rdx,4),%xmm1
pxor   %xmm0,%xmm1
pxor   0xa0(%rsp,%rdx,4),%xmm0
movdqa %xmm1,0x20(%rsp,%rdx,4)
movdqu %xmm0,(%r14,%rdx,4)
add    $0x8,%rdx
add    $0xfffffffffffffffe,%r15
jne    1300 <c_gcm_aes_decrypt+0x1d0>
jmp    1354 <c_gcm_aes_decrypt+0x224>
xor    %edx,%edx
mov    %r13d,%esi
and    $0x1c,%esi
test   $0x1,%cl
je     138e <c_gcm_aes_decrypt+0x25e>
lea    (%rdx,%rbp,1),%rcx
mov    0x150(%rsp),%rdi
movdqu (%rdi,%rcx,4),%xmm0
movdqa 0x10(%rsp,%rdx,4),%xmm1
pxor   %xmm0,%xmm1
movdqa %xmm1,0x10(%rsp,%rdx,4)
pxor   0x90(%rsp,%rdx,4),%xmm0
movdqu %xmm0,(%rdi,%rcx,4)
cmp    %rsi,%r13
je     11d0 <c_gcm_aes_decrypt+0xa0>
nopw   0x0(%rax,%rax,1)
mov    (%rbx,%rsi,4),%ecx
xor    %ecx,0x10(%rsp,%rsi,4)
xor    0x90(%rsp,%rsi,4),%ecx
mov    %ecx,(%rbx,%rsi,4)
add    $0x1,%rsi
cmp    %rax,%rsi
jl     13a0 <c_gcm_aes_decrypt+0x270>
jmp    11d0 <c_gcm_aes_decrypt+0xa0>
mov    0x48(%rsp),%ecx
mov    0x4c(%rsp),%eax
mov    0x60(%rsp),%rbx
mov    0x58(%rsp),%rbp
mov    0x4(%rsp),%r14d
mov    %r14d,%edx
sar    $0x8,%edx
xor    %ecx,%edx
mov    %edx,0x48(%rsp)
movzbl %r14b,%ecx
xor    %eax,%ecx
mov    %ecx,0x4c(%rsp)
lea    0x10(%rsp),%rdi
mov    0x8(%rsp),%rsi
call   1040 <c_gcm_galois_mult@plt>
mov    $0x1,%eax
cmp    $0x8,%ebp
jl     14de <c_gcm_aes_decrypt+0x3ae>
mov    %ebp,%ecx
shr    $0x3,%ecx
xor    %edx,%edx
cmp    $0x40,%ebp
jae    1421 <c_gcm_aes_decrypt+0x2f1>
mov    $0x1,%eax
xor    %esi,%esi
jmp    14c0 <c_gcm_aes_decrypt+0x390>
mov    %ecx,%esi
and    $0xfffffff8,%esi
shr    %ebp
and    $0xffffffe0,%ebp
movdqa 0xbcd(%rip),%xmm0
xor    %eax,%eax
movdqa %xmm0,%xmm1
nopl   0x0(%rax)
movdqa 0x10(%rsp,%rax,1),%xmm2
movdqa 0x20(%rsp,%rax,1),%xmm3
pxor   0xd0(%rsp,%rax,1),%xmm2
pxor   0xe0(%rsp,%rax,1),%xmm3
movdqa %xmm2,0x10(%rsp,%rax,1)
movdqa %xmm3,0x20(%rsp,%rax,1)
movdqu (%rbx,%rax,1),%xmm4
movdqu 0x10(%rbx,%rax,1),%xmm5
pcmpeqd %xmm2,%xmm4
pand   %xmm4,%xmm0
pcmpeqd %xmm3,%xmm5
pand   %xmm5,%xmm1
add    $0x20,%rax
cmp    %rax,%rbp
jne    1440 <c_gcm_aes_decrypt+0x310>
movdqa 0xb6a(%rip),%xmm2
movdqa %xmm0,%xmm3
pcmpeqd %xmm2,%xmm3
pand   %xmm3,%xmm1
pandn  %xmm0,%xmm3
por    %xmm1,%xmm3
pcmpeqd %xmm2,%xmm3
movmskps %xmm3,%edi
xor    %eax,%eax
cmp    $0xf,%edi
sete   %al
cmp    %rcx,%rsi
je     14de <c_gcm_aes_decrypt+0x3ae>
xchg   %ax,%ax
mov    0x10(%rsp,%rsi,4),%edi
xor    0xd0(%rsp,%rsi,4),%edi
mov    %edi,0x10(%rsp,%rsi,4)
cmp    (%rbx,%rsi,4),%edi
cmovne %edx,%eax
add    $0x1,%rsi
cmp    %rsi,%rcx
jne    14c0 <c_gcm_aes_decrypt+0x390>
add    $0x118,%rsp
pop    %rbx
pop    %r12
pop    %r13
pop    %r14
pop    %r15
pop    %rbp
ret

LLVM IR (-O0):
define i32 @c_gcm_aes_decrypt(i32* %0, i32* %1, i32* %2, i32 %3, i32* %4, i32 %5, i32* %6) {
%8 = alloca i32*
%9 = alloca i32*
%10 = alloca i32*
%11 = alloca i32
%12 = alloca i32*
%13 = alloca i32
%14 = alloca i32*
%15 = alloca i32
%16 = alloca i32
%17 = alloca i32
%18 = alloca i32
%19 = alloca i32
%20 = alloca [16 x i32]
%21 = alloca [16 x i32]
%22 = alloca [16 x i32]
store i32* %0, i32** %8
store i32* %1, i32** %9
store i32* %2, i32** %10
store i32 %3, i32* %11
store i32* %4, i32** %12
store i32 %5, i32* %13
store i32* %6, i32** %14
store i32 1, i32* %19
store i32 0, i32* %15
br label %23
23: ; preds = %40, %7
%24 = load i32, i32* %15
%25 = icmp slt i32 %24, 8
br i1 %25, label %26, label %43
26: ; preds = %23
%27 = load i32*, i32** %8
%28 = load i32, i32* %15
%29 = sext i32 %28 to i64
%30 = getelementptr inbounds i32, i32* %27, i64 %29
%31 = load i32, i32* %30
%32 = getelementptr inbounds [16 x i32], [16 x i32]* %20, i64 0, i64 0
%33 = load i32, i32* %15
%34 = sext i32 %33 to i64
%35 = getelementptr inbounds i32, i32* %32, i64 %34
store i32 %31, i32* %35
%36 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 0
%37 = load i32, i32* %15
%38 = sext i32 %37 to i64
%39 = getelementptr inbounds i32, i32* %36, i64 %38
store i32 0, i32* %39
br label %40
40: ; preds = %26
%41 = load i32, i32* %15
%42 = add nsw i32 %41, 1
store i32 %42, i32* %15
br label %23
43: ; preds = %23
%44 = load i32*, i32** %9
%45 = getelementptr inbounds [16 x i32], [16 x i32]* %20, i64 0, i64 0
%46 = call i32 @c_aes_encrypt(i32* %44, i32* %45)
%47 = load i32, i32* %13
%48 = ashr i32 %47, 3
store i32 %48, i32* %18
store i32 0, i32* %16
br label %49
49: ; preds = %122, %43
%50 = load i32, i32* %16
%51 = load i32, i32* %18
%52 = icmp slt i32 %50, %51
br i1 %52, label %53, label %125
53: ; preds = %49
%54 = load i32, i32* %18
%55 = load i32, i32* %16
%56 = sub nsw i32 %54, %55
store i32 %56, i32* %17
%57 = load i32, i32* %17
%58 = icmp sgt i32 %57, 16
br i1 %58, label %59, label %60
59: ; preds = %53
br label %62
60: ; preds = %53
%61 = load i32, i32* %17
br label %62
62: ; preds = %60, %59
%63 = phi i32 [ 16, %59 ], [ %61, %60 ]
store i32 %63, i32* %17
%64 = load i32*, i32** %8
%65 = call i32 @c_gcm_iv_incr(i32* %64)
store i32 0, i32* %15
br label %66
66: ; preds = %79, %62
%67 = load i32, i32* %15
%68 = icmp slt i32 %67, 8
br i1 %68, label %69, label %82
69: ; preds = %66
%70 = load i32*, i32** %8
%71 = load i32, i32* %15
%72 = sext i32 %71 to i64
%73 = getelementptr inbounds i32, i32* %70, i64 %72
%74 = load i32, i32* %73
%75 = getelementptr inbounds [16 x i32], [16 x i32]* %21, i64 0, i64 0
%76 = load i32, i32* %15
%77 = sext i32 %76 to i64
%78 = getelementptr inbounds i32, i32* %75, i64 %77
store i32 %74, i32* %78
br label %79
79: ; preds = %69
%80 = load i32, i32* %15
%81 = add nsw i32 %80, 1
store i32 %81, i32* %15
br label %66
82: ; preds = %66
%83 = load i32*, i32** %9
%84 = getelementptr inbounds [16 x i32], [16 x i32]* %21, i64 0, i64 0
%85 = call i32 @c_aes_encrypt(i32* %83, i32* %84)
store i32 0, i32* %15
br label %86
86: ; preds = %115, %82
%87 = load i32, i32* %15
%88 = load i32, i32* %17
%89 = icmp slt i32 %87, %88
br i1 %89, label %90, label %118
90: ; preds = %86
%91 = load i32*, i32** %14
%92 = load i32, i32* %16
%93 = load i32, i32* %15
%94 = add nsw i32 %92, %93
%95 = sext i32 %94 to i64
%96 = getelementptr inbounds i32, i32* %91, i64 %95
%97 = load i32, i32* %96
%98 = load i32, i32* %15
%99 = sext i32 %98 to i64
%100 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 %99
%101 = load i32, i32* %100
%102 = xor i32 %101, %97
store i32 %102, i32* %100
%103 = load i32, i32* %15
%104 = sext i32 %103 to i64
%105 = getelementptr inbounds [16 x i32], [16 x i32]* %21, i64 0, i64 %104
%106 = load i32, i32* %105
%107 = load i32*, i32** %14
%108 = load i32, i32* %16
%109 = load i32, i32* %15
%110 = add nsw i32 %108, %109
%111 = sext i32 %110 to i64
%112 = getelementptr inbounds i32, i32* %107, i64 %111
%113 = load i32, i32* %112
%114 = xor i32 %113, %106
store i32 %114, i32* %112
br label %115
115: ; preds = %90
%116 = load i32, i32* %15
%117 = add nsw i32 %116, 1
store i32 %117, i32* %15
br label %86
118: ; preds = %86
%119 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 0
%120 = load i32*, i32** %10
%121 = call i32 @c_gcm_galois_mult(i32* %119, i32* %120)
br label %122
122: ; preds = %118
%123 = load i32, i32* %16
%124 = add nsw i32 %123, 16
store i32 %124, i32* %16
br label %49
125: ; preds = %49
%126 = load i32, i32* %13
%127 = ashr i32 %126, 8
%128 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 14
%129 = load i32, i32* %128
%130 = xor i32 %129, %127
store i32 %130, i32* %128
%131 = load i32, i32* %13
%132 = and i32 %131, 255
%133 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 15
%134 = load i32, i32* %133
%135 = xor i32 %134, %132
store i32 %135, i32* %133
%136 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 0
%137 = load i32*, i32** %10
%138 = call i32 @c_gcm_galois_mult(i32* %136, i32* %137)
%139 = load i32, i32* %11
%140 = ashr i32 %139, 3
store i32 %140, i32* %11
store i32 0, i32* %15
br label %141
141: ; preds = %167, %125
%142 = load i32, i32* %15
%143 = load i32, i32* %11
%144 = icmp slt i32 %142, %143
br i1 %144, label %145, label %170
145: ; preds = %141
%146 = load i32, i32* %15
%147 = sext i32 %146 to i64
%148 = getelementptr inbounds [16 x i32], [16 x i32]* %20, i64 0, i64 %147
%149 = load i32, i32* %148
%150 = load i32, i32* %15
%151 = sext i32 %150 to i64
%152 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 %151
%153 = load i32, i32* %152
%154 = xor i32 %153, %149
store i32 %154, i32* %152
%155 = load i32, i32* %15
%156 = sext i32 %155 to i64
%157 = getelementptr inbounds [16 x i32], [16 x i32]* %22, i64 0, i64 %156
%158 = load i32, i32* %157
%159 = load i32*, i32** %12
%160 = load i32, i32* %15
%161 = sext i32 %160 to i64
%162 = getelementptr inbounds i32, i32* %159, i64 %161
%163 = load i32, i32* %162
%164 = icmp ne i32 %158, %163
br i1 %164, label %165, label %166
165: ; preds = %145
store i32 0, i32* %19
br label %166
166: ; preds = %165, %145
br label %167
167: ; preds = %166
%168 = load i32, i32* %15
%169 = add nsw i32 %168, 1
store i32 %169, i32* %15
br label %141
170: ; preds = %141
%171 = load i32, i32* %19
ret i32 %171
}

LLVM IR (-O2):
define i32 @c_gcm_aes_decrypt(i32* %0, i32* %1, i32* %2, i32 %3, i32* nocapture %4, i32 %5, i32* nocapture %6) {
%8 = bitcast i32* %0 to i8*
%9 = alloca [16 x i32]
%10 = bitcast [16 x i32]* %9 to i8*
%11 = alloca [16 x i32]
%12 = bitcast [16 x i32]* %11 to i8*
%13 = alloca [16 x i32]
%14 = bitcast [16 x i32]* %13 to i8*
%15 = getelementptr inbounds [16 x i32], [16 x i32]* %9, i64 0, i64 0
%16 = call i32 @c_aes_encrypt(i32* %1, i32* %15)
%17 = icmp sgt i32 %5, 7
br i1 %17, label %18, label %132
18: ; preds = %7
%19 = lshr i32 %5, 3
%20 = getelementptr inbounds [16 x i32], [16 x i32]* %11, i64 0, i64 0
%21 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 0
%22 = zext i32 %19 to i64
br label %23
23: ; preds = %18, %122
%24 = phi i64 [ 0, %18 ], [ %126, %122 ]
%25 = phi i64 [ 0, %18 ], [ %124, %122 ]
%26 = mul nsw i64 %24, -16
%27 = add i64 %26, %22
%28 = call i64 @llvm.umin.i64(i64 %27, i64 16)
%29 = call i64 @llvm.smax.i64(i64 %28, i64 1)
%30 = and i64 %29, 28
%31 = add nsw i64 %30, -4
%32 = lshr exact i64 %31, 2
%33 = add nuw nsw i64 %32, 1
%34 = mul nsw i64 %24, -16
%35 = add i64 %34, %22
%36 = call i64 @llvm.umin.i64(i64 %35, i64 16)
%37 = call i64 @llvm.smax.i64(i64 %36, i64 1)
%38 = sub nsw i64 %22, %25
%39 = call i32 @c_gcm_iv_incr(i32* %0)
%40 = call i32 @c_aes_encrypt(i32* %1, i32* %20)
%41 = icmp sgt i64 %38, 0
br i1 %41, label %42, label %122
42: ; preds = %23
%43 = icmp ult i64 %38, 16
%44 = select i1 %43, i64 %38, i64 16
%45 = icmp ult i64 %37, 4
br i1 %45, label %107, label %46
46: ; preds = %42
%47 = and i64 %37, 28
%48 = and i64 %33, 1
%49 = icmp eq i64 %31, 0
br i1 %49, label %87, label %50
50: ; preds = %46
%51 = and i64 %33, 9223372036854775806
br label %52
52: ; preds = %52, %50
%53 = phi i64 [ 0, %50 ], [ %84, %52 ]
%54 = phi i64 [ 0, %50 ], [ %85, %52 ]
%55 = add nuw nsw i64 %53, %25
%56 = getelementptr inbounds i32, i32* %6, i64 %55
%57 = bitcast i32* %56 to <4 x i32>*
%58 = load <4 x i32>, <4 x i32>* %57
%59 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %53
%60 = bitcast i32* %59 to <4 x i32>*
%61 = load <4 x i32>, <4 x i32>* %60
%62 = xor <4 x i32> %61, %58
%63 = bitcast i32* %59 to <4 x i32>*
store <4 x i32> %62, <4 x i32>* %63
%64 = getelementptr inbounds [16 x i32], [16 x i32]* %11, i64 0, i64 %53
%65 = bitcast i32* %64 to <4 x i32>*
%66 = load <4 x i32>, <4 x i32>* %65
%67 = xor <4 x i32> %66, %58
%68 = bitcast i32* %56 to <4 x i32>*
store <4 x i32> %67, <4 x i32>* %68
%69 = or i64 %53, 4
%70 = add nuw nsw i64 %69, %25
%71 = getelementptr inbounds i32, i32* %6, i64 %70
%72 = bitcast i32* %71 to <4 x i32>*
%73 = load <4 x i32>, <4 x i32>* %72
%74 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %69
%75 = bitcast i32* %74 to <4 x i32>*
%76 = load <4 x i32>, <4 x i32>* %75
%77 = xor <4 x i32> %76, %73
%78 = bitcast i32* %74 to <4 x i32>*
store <4 x i32> %77, <4 x i32>* %78
%79 = getelementptr inbounds [16 x i32], [16 x i32]* %11, i64 0, i64 %69
%80 = bitcast i32* %79 to <4 x i32>*
%81 = load <4 x i32>, <4 x i32>* %80
%82 = xor <4 x i32> %81, %73
%83 = bitcast i32* %71 to <4 x i32>*
store <4 x i32> %82, <4 x i32>* %83
%84 = add nuw i64 %53, 8
%85 = add i64 %54, 2
%86 = icmp eq i64 %85, %51
br i1 %86, label %87, label %52
87: ; preds = %52, %46
%88 = phi i64 [ 0, %46 ], [ %84, %52 ]
%89 = icmp eq i64 %48, 0
br i1 %89, label %105, label %90
90: ; preds = %87
%91 = add nuw nsw i64 %88, %25
%92 = getelementptr inbounds i32, i32* %6, i64 %91
%93 = bitcast i32* %92 to <4 x i32>*
%94 = load <4 x i32>, <4 x i32>* %93
%95 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %88
%96 = bitcast i32* %95 to <4 x i32>*
%97 = load <4 x i32>, <4 x i32>* %96
%98 = xor <4 x i32> %97, %94
%99 = bitcast i32* %95 to <4 x i32>*
store <4 x i32> %98, <4 x i32>* %99
%100 = getelementptr inbounds [16 x i32], [16 x i32]* %11, i64 0, i64 %88
%101 = bitcast i32* %100 to <4 x i32>*
%102 = load <4 x i32>, <4 x i32>* %101
%103 = xor <4 x i32> %102, %94
%104 = bitcast i32* %92 to <4 x i32>*
store <4 x i32> %103, <4 x i32>* %104
br label %105
105: ; preds = %87, %90
%106 = icmp eq i64 %37, %47
br i1 %106, label %122, label %107
107: ; preds = %42, %105
%108 = phi i64 [ 0, %42 ], [ %47, %105 ]
br label %109
109: ; preds = %107, %109
%110 = phi i64 [ %120, %109 ], [ %108, %107 ]
%111 = add nuw nsw i64 %110, %25
%112 = getelementptr inbounds i32, i32* %6, i64 %111
%113 = load i32, i32* %112
%114 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %110
%115 = load i32, i32* %114
%116 = xor i32 %115, %113
store i32 %116, i32* %114
%117 = getelementptr inbounds [16 x i32], [16 x i32]* %11, i64 0, i64 %110
%118 = load i32, i32* %117
%119 = xor i32 %118, %113
store i32 %119, i32* %112
%120 = add nuw nsw i64 %110, 1
%121 = icmp slt i64 %120, %44
br i1 %121, label %109, label %122
122: ; preds = %109, %105, %23
%123 = call i32 @c_gcm_galois_mult(i32* %21, i32* %2)
%124 = add nuw nsw i64 %25, 16
%125 = icmp ult i64 %124, %22
%126 = add i64 %24, 1
br i1 %125, label %23, label %127
127: ; preds = %122
%128 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 14
%129 = load i32, i32* %128
%130 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 15
%131 = load i32, i32* %130
br label %132
132: ; preds = %127, %7
%133 = phi i32 [ %131, %127 ], [ undef, %7 ]
%134 = phi i32 [ %129, %127 ], [ undef, %7 ]
%135 = ashr i32 %5, 8
%136 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 14
%137 = xor i32 %134, %135
store i32 %137, i32* %136
%138 = and i32 %5, 255
%139 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 15
%140 = xor i32 %133, %138
store i32 %140, i32* %139
%141 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 0
%142 = call i32 @c_gcm_galois_mult(i32* %141, i32* %2)
%143 = icmp sgt i32 %3, 7
br i1 %143, label %144, label %207
144: ; preds = %132
%145 = lshr i32 %3, 3
%146 = zext i32 %145 to i64
%147 = icmp ult i32 %3, 64
br i1 %147, label %190, label %148
148: ; preds = %144
%149 = and i64 %146, 536870904
br label %150
150: ; preds = %150, %148
%151 = phi i64 [ 0, %148 ], [ %180, %150 ]
%152 = phi <4 x i32> [ <i32 1, i32 1, i32 1, i32 1>, %148 ], [ %178, %150 ]
%153 = phi <4 x i32> [ <i32 1, i32 1, i32 1, i32 1>, %148 ], [ %179, %150 ]
%154 = getelementptr inbounds [16 x i32], [16 x i32]* %9, i64 0, i64 %151
%155 = bitcast i32* %154 to <4 x i32>*
%156 = load <4 x i32>, <4 x i32>* %155
%157 = getelementptr inbounds i32, i32* %154, i64 4
%158 = bitcast i32* %157 to <4 x i32>*
%159 = load <4 x i32>, <4 x i32>* %158
%160 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %151
%161 = bitcast i32* %160 to <4 x i32>*
%162 = load <4 x i32>, <4 x i32>* %161
%163 = getelementptr inbounds i32, i32* %160, i64 4
%164 = bitcast i32* %163 to <4 x i32>*
%165 = load <4 x i32>, <4 x i32>* %164
%166 = xor <4 x i32> %162, %156
%167 = xor <4 x i32> %165, %159
%168 = bitcast i32* %160 to <4 x i32>*
store <4 x i32> %166, <4 x i32>* %168
%169 = bitcast i32* %163 to <4 x i32>*
store <4 x i32> %167, <4 x i32>* %169
%170 = getelementptr inbounds i32, i32* %4, i64 %151
%171 = bitcast i32* %170 to <4 x i32>*
%172 = load <4 x i32>, <4 x i32>* %171
%173 = getelementptr inbounds i32, i32* %170, i64 4
%174 = bitcast i32* %173 to <4 x i32>*
%175 = load <4 x i32>, <4 x i32>* %174
%176 = icmp eq <4 x i32> %166, %172
%177 = icmp eq <4 x i32> %167, %175
%178 = select <4 x i1> %176, <4 x i32> %152, <4 x i32> zeroinitializer
%179 = select <4 x i1> %177, <4 x i32> %153, <4 x i32> zeroinitializer
%180 = add nuw i64 %151, 8
%181 = icmp eq i64 %180, %149
br i1 %181, label %182, label %150
182: ; preds = %150
%183 = icmp eq <4 x i32> %178, <i32 1, i32 1, i32 1, i32 1>
%184 = select <4 x i1> %183, <4 x i32> %179, <4 x i32> %178
%185 = icmp ne <4 x i32> %184, <i32 1, i32 1, i32 1, i32 1>
%186 = bitcast <4 x i1> %185 to i4
%187 = icmp eq i4 %186, 0
%188 = zext i1 %187 to i32
%189 = icmp eq i64 %149, %146
br i1 %189, label %207, label %190
190: ; preds = %144, %182
%191 = phi i64 [ 0, %144 ], [ %149, %182 ]
%192 = phi i32 [ 1, %144 ], [ %188, %182 ]
br label %193
193: ; preds = %190, %193
%194 = phi i64 [ %205, %193 ], [ %191, %190 ]
%195 = phi i32 [ %204, %193 ], [ %192, %190 ]
%196 = getelementptr inbounds [16 x i32], [16 x i32]* %9, i64 0, i64 %194
%197 = load i32, i32* %196
%198 = getelementptr inbounds [16 x i32], [16 x i32]* %13, i64 0, i64 %194
%199 = load i32, i32* %198
%200 = xor i32 %199, %197
store i32 %200, i32* %198
%201 = getelementptr inbounds i32, i32* %4, i64 %194
%202 = load i32, i32* %201
%203 = icmp eq i32 %200, %202
%204 = select i1 %203, i32 %195, i32 0
%205 = add nuw nsw i64 %194, 1
%206 = icmp eq i64 %205, %146
br i1 %206, label %207, label %193
207: ; preds = %193, %182, %132
%208 = phi i32 [ 1, %132 ], [ %188, %182 ], [ %204, %193 ]
ret i32 %208
}