Qualcuno può suggerire buoni strumenti open source per la scansione del codice sorgente per le vulnerabilità? [chiuso]

11

Sono particolarmente alla ricerca di vulnerabilità nel codice C / C ++. Ho visto un sacco di strumenti proprietari ma non open source.

    
posta Magnus 23.01.2011 - 23:13
fonte

3 risposte

4

Fortifica i RATS rilasciati: link . Puoi provarlo, tuttavia, non sono molto soddisfatto dei risultati degli strumenti sia commerciali che open-source. Probabilmente gli strumenti commerciali mostrano risultati leggermente migliori. Il problema è che oggi molti bug ovvi si estinguono a causa di diversi motivi. Sì, c'è ancora un software bug e buggy (e lo sarà sempre), e questi strumenti troveranno questi bug, ma non quelli ingannevoli. La maggior parte del lavoro devi ancora fare manualmente.

    
risposta data 24.01.2011 - 00:40
fonte
7

David Wheeler of FlawFinder ha una grande lista di (30) OSS / FS & (14) Strumenti di analisi statica proprietari:

link

    
risposta data 24.01.2011 - 05:38
fonte
5

No.

"Buono" in questo caso è in gran parte contraddittorio con "strumenti per la scansione del codice sorgente". Soprattutto quelli liberi - non bussare all'apertu- ra qui, anche la maggior parte degli spot commerciali fa schifo.

Il miglior strumento (commerciale) che ho visto (e ho studiato un po 'questo) - era Checkmarx di un ampio margine. (Divulgazione - anche se non lavoro per loro, ho lavorato con loro in passato).
In basso nell'elenco si trova IBM / Ounce (ora chiamata IBM Rational Appscan Source Code Edition, o qualcosa del genere ...).
Più in basso ci sono gli strumenti commerciali di "2 ° livello", come Klockworcks e così ... Molto, molto più in basso nella mia lista c'è l'incumbent, Fortify (ora di proprietà di HP).

Tieni presente che tutti questi sono commerciali e alquanto costosi.

In basso nella lista ci sono gli strumenti liberi / opensource - semplicemente perché fanno una semplice ricerca di testo, praticamente quello che potresti fare con ad es. grep.
In questa lista - RATS, ITS4, FlawFinder, alcuni altri ... ma sono abbastanza equivalenti, non c'è molta logica in loro, nessuna compilazione, ecc.

Se cercavi all'esterno di C e C ++ - non è molto diverso, ad eccezione di alcuni strumenti OWASP, ad es. O2 per .NET, LAPSE per Java ...

    
risposta data 25.01.2011 - 07:41
fonte

Leggi altre domande sui tag