源代碼安全掃描及服務(wù)技術(shù)方案(編輯修改稿)
2025-03-06 15:20 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 形參 sconname超出了定義的范圍長(zhǎng)度 掃描內(nèi)容 18 安全漏洞類型：未經(jīng)驗(yàn)證的用戶輸入 子錯(cuò)誤代碼 : 摘取的實(shí)例如下： 源碼： G:\c++\i\bank\bankother\ 行 353 錯(cuò)誤描述： Unvalidated integer value 39。lGetLen39。 is received from an external function through a call to 39。atol39。 at line 344 which can be used to alter memory allocation size through call to 39。ReadBufs39。 at line 353. Use of unvalidated input for memory allocation can lead to a denial of service condition. Check integers for reasonable limits. 分析：由于這里在分配內(nèi)存時(shí)調(diào)用了一個(gè)外部函數(shù) ,但此外部函數(shù)中并沒(méi)有明確整形變量lGetLen的值 ,導(dǎo)致檢測(cè)出來(lái)此錯(cuò)誤 . 掃描內(nèi)容 19 安全漏洞類型：注入缺陷 子錯(cuò)誤代碼 : 揭示一個(gè)應(yīng)用程序的實(shí)現(xiàn)細(xì)節(jié)是安全問(wèn)題 ,因?yàn)樗峁┝斯粽吲c信息可以用于進(jìn)一步的攻擊。 .一般而言 ,信息的數(shù)量向網(wǎng)絡(luò)接口將降至最低 ,在特定的設(shè)計(jì)細(xì)節(jié)不應(yīng)該被揭示 摘取的實(shí)例如下： 源碼： G:\NGCRM_CODE\srcbackground\\sunrise\ngcrm\background\minterface\ ,行 80 方法： toHandTaskFile 錯(cuò)誤描述 : Application is revealing design information parameter 39。()39。 of call to doWriteLogFile(...) back to the web. 分析 : 設(shè)計(jì)信息的泄漏 ,可預(yù)防消除信息發(fā)送到網(wǎng)絡(luò)接口的應(yīng)用價(jià)值。一般用戶的應(yīng)用可能不會(huì)需要這樣的信息 ,攻擊者可以獲得信息 ,可用于進(jìn)一步的襲擊。一個(gè)普通的情況設(shè)計(jì)信息的披露在 java exceptionhandling發(fā)生。 . 在編程求解過(guò)程中異常信息是有用的 ,但也很危險(xiǎn)后放出。必須非常小心的展示或發(fā)送異常信息 ,并確保用戶從未見(jiàn)過(guò)這樣的信息。 .所有的堆棧跟蹤和調(diào)試信息應(yīng)存放在服務(wù)器日志的地方 ,攻擊者看不懂 掃描內(nèi)容 20 ● 源代碼掃描項(xiàng)目還可通過(guò)前端的工具 Klocwork Architect 來(lái)完成對(duì) 軟件架構(gòu)的分析 ● 理解和優(yōu)化您的架構(gòu) – 能夠更好地了解大型軟件系統(tǒng) – 降低軟件的復(fù)雜性，簡(jiǎn)化架構(gòu)，提高系統(tǒng)的可維護(hù)性 – 創(chuàng)造更多的可重用的組件，執(zhí)行所需的 API的用法 – 清理和優(yōu)化你的頭文件的結(jié)構(gòu)，從而導(dǎo)致更好的可維護(hù)性，縮短構(gòu)建時(shí)間和降低復(fù)雜性 掃描內(nèi)容 21 ● 源代碼掃描項(xiàng)目還可通過(guò)對(duì)度量文件配置完成對(duì)軟件度量分析 ? 可以使用軟件默認(rèn)度量配置對(duì)項(xiàng)目進(jìn)行軟件度量分析 ? 同時(shí)也支持為客戶提供的主要指標(biāo)，以創(chuàng)建自己的復(fù)合度量 ? 監(jiān)控關(guān)鍵指標(biāo)建立了構(gòu)建組件，度量類型 掃描內(nèi)容 源代碼掃描 — 軟件度量 分析 22 項(xiàng)目概述 —— 互聯(lián)網(wǎng)用戶管理中心建設(shè)項(xiàng)目 源代碼掃描 —— 可定制的代碼分析 ? 定位： ? 許多組織有自己獨(dú)特的編碼標(biāo)準(zhǔn)、安全策略或質(zhì)量目標(biāo)。經(jīng)過(guò)我們項(xiàng)目的擴(kuò)展 您可以將我們的分析引擎應(yīng)用到您獨(dú)特的、公司特色的問(wèn)題 另外，我們項(xiàng)目的可擴(kuò)展性能夠用于實(shí)現(xiàn)行業(yè)特定的編碼標(biāo)準(zhǔn)，保證遵守最新的最佳實(shí)踐。客戶可使用項(xiàng)目中介紹的擴(kuò)展性 API 或者使用項(xiàng)目提供的專業(yè)服務(wù)編寫(xiě)適合您的檢查器 掃描內(nèi)容 23 項(xiàng)目概述 —— 互聯(lián)網(wǎng)用戶管理中心建設(shè)項(xiàng)目 源代碼掃描 —— 與 IDE的集成 ? 簡(jiǎn)介： 源代碼掃描項(xiàng)目與眾不同的核心之一就是我們能夠集成到您選定的開(kāi)發(fā)環(huán)境中去。 通過(guò)集成，在開(kāi)發(fā)人員的桌面上即可自動(dòng)進(jìn)行代碼的檢查，您可創(chuàng)建更為優(yōu)秀的 軟件并通過(guò)在開(kāi)發(fā)過(guò)程早期捕捉到潛在的問(wèn)題而降低開(kāi)發(fā)成本。目前能夠 與 Eclipse、 Wind River Workbench 、 Visual Studio 6/2023/2023/202 IBM Rational Applicati
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1