使用静态分析技术找到真正的代码质量缺陷与安全漏洞.pdfVIP

使用静态分析技术找到“真正”的代码质量 缺陷与安全漏洞 2021解决方案精选合集 HeartBleed Bug 2021解决方案精选合集 软件研发测试经济学 绝大部分缺陷在修复成 本较低时被引入。 大部分缺陷在成本较高 时被发现和修复。 2021解决方案精选合集 代码静态分析技术 2021解决方案精选合集 代码静态分析 • 定义：在不执行计算机程序的条件下，对源代码进行分析，找出代码 缺陷 • 执行方式：一般配合静态程序分析工具进行 • 采用技术：数据流分析、机器学习、语义精简 ... • 可检测类型：死锁，空指针，资源泄露，缓冲区溢出，安全漏洞，竞 态条件 ... 2021解决方案精选合集 • 优点： • 能够检测所有的代码级别的可执行路径组合，快速，准确 • 直接面向源码，分析多种问题 • 在研发阶段开始找到并修复多种问题，节省大量时间 / 人力成本 • 注意：静态分析不是万能的，测试是持续的过程，非一劳永逸 现存问题 • 编译器警告 : 保证类型安全 – 最初级的静态分析，检测规则简单 • 中间语言分析 : 检测字节码（ Byte Code ）的缺陷，将其重新映射到真实代 码中 – 在转换与映射过程中易造成精度丢失 2021解决方案精选合集 • 高误报率：目前静态分析产品的误报率普遍在 30% 以上。 • 缺陷种类较少，找到的问题级别不高：多数为代码规范或低级缺陷，非实 际 Bug – 如命名规范、类定义规范，最佳实践 • 易用性较低：基本上都是一次性的使用工具，无法与 SDLC 集成 – SCM 集成：如 SVN ，CVS ，Perforce ，Git – Bug Tracking ：如Bugzilla,Jira 改进型的静态分析方案 • 基于Meta Compilation 的静态分析： • 由斯坦福大学教授 Dawson Engler 提出 ，在深度理解代码与程序语义的基础上检测缺陷 • 旨在查找“真正的代码缺陷” • 实现原理： • 使用可扩展的 metal 语言定义正确性 Checker • 将程序的源码使用状态机进行抽象描述（ State Machine Abstraction ）。 2021解决方案精选合集 • 使用 xgcc 系统匹配 Checker 与抽象状态机状态，找到问题所在的点。 • 可准确检测实际的 Bug （内存和指针问题、资源泄露、缓冲区溢出，数组越界， 心脏出血漏洞 ... ） • 能够检测高达亿行级别的代码库，避免“状态爆炸” • 使用模型检验与符号执行技术，误报率降低至 15% 以下 • 算法已步入实际应用 • 面向企业的 Coverity 软件 • 面向开源代码的 Coverity SCAN 源码分析 - 数据流分析 2021解决方案精选合集 • 源码分析可以探知开发者的想法： “ x=1” 需要在调用 “do_something” 后继续执行。 • 提出警告： if 循环没有包含所有语句 如何进行 Java 代码静态分析 ？ Java 语言被编译成 JVM bytecode - 在运行时被转换成本地可执行 代码的分析 选项一 • 分析 byte-code