快速检测代码缺陷与安全漏洞的方法与实践
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安装 狗驱 动 软件 ；
（ ）注 意 将 Ｗ ｉｄ ｗｓ系 统 服 务 中 将 Ｋｌｃ ｒ ２ ｎｏ ｏ ｗｏｋ
８ Ｄａ ａ ａ ｅ ．２ ｔ ｂ ｓ Ｓｅ ｖｅ Ｋ ｌ ｃ ｒ ｒ、 ｏ ｗｏｒ ８ ２ Ｌｉｅ ｓ ｒ — ｋ ． ｃ ｎ ｅ Ｓｅ ｖ
性 问题 ， 这将 大大 降低 系统后 续 风险 ， 少严 重经 济 减
损 失甚 至灾难 事故 的发 生概 率 。］ Ｌ 】
应用Biblioteka Baidu源代码 分 析工 具Ｋｌｃ ｏ ｋＩｓ ｈ ， ｏ ｗ ｒ ｎｉ ｔ 不需设 ｇ 计 测试 用 例 ， 需 运 行 程 序 ， 够快 速 检 测 出 Ｗｉ— 不 能 ｎ
ｅ 、Ｋｌ ｃ ｒ ８ ２ ｒ ｏ ｗｏ ｋ ． Ｐｒ ｊｃ Ｓ ｒ ｅ 、Ｋｌｃ ｒ ８ ２ ｏｅ ｔ ｅ ｖ ｒ ｏ ｗｏ ｋ ．
ｄ ｗｓ ＵＮＩ Ｌｎ ｘ操 作 系统 下 Ｃ、 ｏ 、 Ｘ、 ｉｕ Ｃ＋＋ 、ＡＶＡ 语 Ｊ
言 编写 的 代码 安 全 漏 洞 、 量缺 陷 ， 可生 成详 细 、 质 并
在 安全漏 洞 的代码 、 发异 常 以及 复杂 、 时的维 护 并 费
１ １ 测 试 前 准 备 ．
（ ）安装 Ｋｌｃ ｏ ｋ Ｉｓ ｈ 后 ， ｌ ｅ ｓ １ ｏ ｗ ｒ ｎ ｉ ｔ ｇ 将 ｉ ｎ ｅ文 件 ｃ 复 制到 安装 目录＼ ｒｊｃｓ ｒ ｏ＼ｉ ｎｅ ｐｏｅ ｔ— ｏ ｔ ｌ ｅ ｓｓ目录下 ， ｃ 并
第１ 卷
第５ 期
指 挥 信 息 系 统 与 技 术
Ｃ ｍｍａ ｄＩ ｆ ｒ ｔｏ ｙ ｔｍ ＆ Ｔｅ ｈ ｏｏ ｙ ｏ ｎ ｎ ｏ ｍａ ｉｎ Ｓ ｓｅ ｃ ｎ ｌｇ
Ｖ ｏ１ Ｎｏ．５ ．１
２１ ０ ０年 １ Ｏ月
０Ｃ ． ０１ ｔ２ ０
・
实践 与应 用 ・
快 速 检 测代 码缺 陷 与 安全 漏 洞 的 方 法 与 实 践
ｂｉｉｉｓ， ｎ ｕ ｅ ｔ ｗ ｏ ｃ ｒ ｅ ｔｔ ｅ ． ｌｔｅ ａ ｄ ｓ ｇｇ ｓ ｓ ｈｏ ｔ ｏ ｒ ｃ ｈ ｍ
Ｋｅ ｒ ｙ ｗｏ ｄｓ：ｃ ｏｍｐ ｉｉ ｎ ｌ ｓ ｓ；ｃ ｄｅ ｄ ｆ ｃ ｓ；ｖ ｎ ｒ ｂｉｉｉ ｓ；ｓ ｔ ｒ ｅ ｔ ｏｓｔｖｅ ａ ａ ｙ ｉ ｏ ｅｅｔ ｕｌ ｅ ａ ｌｔｅ ｏｆｗａ ｅ ｔ ｓ
应 程
Ａｂ ｔ ａ ｔ ｓ ｒ ｃ ：Ｔｈｉ ｐ ｒｆｒ ｔｄ ｓ ｒｂ ｓｔ ｅ ｍｅ ｈ ｏ ｉ ｉ ｇ ｃ ｄ ｅ ｅ ｔ ｎ ｕｌ ｒ ｂｉｉｉ ｓｒ ｐ ｄｌ ｓｐａ ｅ ｉｓ ｅ ｃ ｉ ｅ ｈ ｔ ｏｄ ｆ ｒｆｎｄ ｎ ｏ ｅ ｄ ｆ ｃ ｓａ ｄ ｖ ｎｅ ａ ｌｔｅ ａ ｉ ｙ ｂ ｓ ｎ ｏｃ ｙ ｕ ｉ ｇ Ｋｌ ｋｗｏ ｋ Ｉ ｓ ｇ ，ｗｈｉｈ ｇ ｅ ｔｙ ｉ ｐ ｏ ｓ ｔ ｕａ ｉｙ ｏ ｏ ｓ ａ ｔ ｆｉｉ ｎ ｙ ｏ ｒ ｎ ｉ ｈｔ ｃ ｒ ａ ｌ ｍ ｒ ｖｅ ｈｅ ｑ ｌｔ ｆ ｃ ｄｅ ｎｄ ｈｅ ｅ ｆｃｅ ｃ ｆ ｔ ｓ ， ｎｄ ａ ｓ ｅ ｅ ｔ ｆ ｃ ｉ ｏ ｓ ｆ ｏｍ ｔｉ ｇ ｉ ｏ ｔ ｏ ｌ ｅ ｔ ａ ｌ ｏ ｐｒ ｖ ｎ ｓ ｄｅ ｅ ｔｖｅ ｃ ｄｅ ｒ ｇｅ ｔｎ ｎｔ ｈｅ ｆ ｌｏｗｉ ｔ ｇｅ ． ｎｇ ｓ ａ ｓ Ａｎｄ ｔ ｅ ｂ ｓ ｄ ｏｎ ｈ ｎ， ａ ｅ ａ ｌｃ ｔｏｎ ｅ ｍｐｌ ｓ，ｔ ｓ ｐｐ ｉａ ｉ ｘａ ｅ ｉ ｕｍｍａ ｉｅ ｎ ｘｐ ｉ ａ ｅ ｏ ｅ ｅ ｅ ａ ｉ ｅ ｃ ｄ ｅ ｅ ｔ ｎ ｌ ｒ — ｒｚ ｓ ａ ｄ ｅ ｌｃ ｔ ｓ ｓ ｍｅ ｒ ｐｒ ｓ ｎｔ ｔｖ ｏ ｅ ｄ ｆ ｃ ｓ ａ ｄ ｖｕ ｎｅ ａ
Ｍ ｅ ｈ ｄｓ ａ ｐ ｉ ａ ｉ ｎｓ ｔ ｏ ｎｄ Ａ ｐｌｃ ｔｏ
Ｃｈｅ ｎ Ｘｕｅ ｎ ｑｉ
（ ｅ２ ｔ ｓ ａ ｃ ｎ ｔｔ ｔ ｆＣｈｎ ｅ ｔｏ ｉｓＴｅ ｈ ｏｏ ｙＧｒ ｕ ｒ ｏ ａｉｎ，Ｎａ ｉ ｇ ２ ０ ０ ，Ｃｈｎ ） Ｔｈ ８ｈ Ｒｅ ｅ ｒ ｈ Ｉｓｉｕ ｅｏ ｉａＥｌｃｒ ｎｃ ｃ ｎ ｌｇ ｏ ｐＣｏ ｐ ｒ ｔｏ ｎｉ １ ０ ７ ｎ ｉａ
陈 学 勤
（ 中国电子科技 集 团公 司第二 十八研 究所 南京 ２ ０ ０ ） １ ０ ７
摘 要 ： 中 阐述 了使 用 Ｋｌｃ ｒ ｎ ｉｈ 快 速 检 测 代 码 缺 陷 与 安 全 漏 洞 的 方 法 ， 大提 高 了代 码 文 ｏ ｗｏｋＩｓｇ ｔ 大
质 量和 测试 效率 ， 避免 问题 代码 流入后 续阶段 。基 于测试 实践 案例 ， 炼 和详 解测 试 中经 常发现 的 提
代 码 缺 陷 与 安 全 漏 洞 ， 出正 确 修 改 方 法 。 给
关 键 词 ：集 成 分 析 ；代 码 缺 陷 ；安 全 漏 洞 ；软 件 测 试
中图分 类号 ： Ｐ １ ． ６ Ｔ ３ １ ５
文献标 识码 ： Ａ
Ｒａ ｄ Ｄｅ ｅ ｔｏ ｆ Ｃｏ ｅ Ｄｅ ｅ ｔ ｎｄ Ｖｕ ｎ ｒ ｂ ｌｔｅ ｐｉ ｔ ｃ ｉ ｎ ｏ ｄ ｆ ｃ ｓ ａ ｌ ｅ ａ ｉｉ ｉ ｓ：
Ｏ
引 目
开发 团 队在持 续集 成 和测试 中若能 有效 发现 软
析， 介绍 正确 修改 方法 。
用 Ｋ ｏ ｗｏ ｋ Ｉｓ ｈ ｌｃ ｒ ｎ ｉ ｔ分 析 缺 陷 的 过 ｇ
［］ ２
件代 码缺 陷 和存在 的安 全漏 洞 ， ： 如 内存 及资 源管 理 错误、 空指 针 问题 、 未初 始 化 变量 、 序 数据 管 理 问 程 题 、 冲区溢 出 、 组越 界 、 缓 数 未经验 证 的用户输 入 、 存
（ ）注 意 将 Ｗ ｉｄ ｗｓ系 统 服 务 中 将 Ｋｌｃ ｒ ２ ｎｏ ｏ ｗｏｋ
８ Ｄａ ａ ａ ｅ ．２ ｔ ｂ ｓ Ｓｅ ｖｅ Ｋ ｌ ｃ ｒ ｒ、 ｏ ｗｏｒ ８ ２ Ｌｉｅ ｓ ｒ — ｋ ． ｃ ｎ ｅ Ｓｅ ｖ
性 问题 ， 这将 大大 降低 系统后 续 风险 ， 少严 重经 济 减
损 失甚 至灾难 事故 的发 生概 率 。］ Ｌ 】
应用Biblioteka Baidu源代码 分 析工 具Ｋｌｃ ｏ ｋＩｓ ｈ ， ｏ ｗ ｒ ｎｉ ｔ 不需设 ｇ 计 测试 用 例 ， 需 运 行 程 序 ， 够快 速 检 测 出 Ｗｉ— 不 能 ｎ
ｅ 、Ｋｌ ｃ ｒ ８ ２ ｒ ｏ ｗｏ ｋ ． Ｐｒ ｊｃ Ｓ ｒ ｅ 、Ｋｌｃ ｒ ８ ２ ｏｅ ｔ ｅ ｖ ｒ ｏ ｗｏ ｋ ．
ｄ ｗｓ ＵＮＩ Ｌｎ ｘ操 作 系统 下 Ｃ、 ｏ 、 Ｘ、 ｉｕ Ｃ＋＋ 、ＡＶＡ 语 Ｊ
言 编写 的 代码 安 全 漏 洞 、 量缺 陷 ， 可生 成详 细 、 质 并
在 安全漏 洞 的代码 、 发异 常 以及 复杂 、 时的维 护 并 费
１ １ 测 试 前 准 备 ．
（ ）安装 Ｋｌｃ ｏ ｋ Ｉｓ ｈ 后 ， ｌ ｅ ｓ １ ｏ ｗ ｒ ｎ ｉ ｔ ｇ 将 ｉ ｎ ｅ文 件 ｃ 复 制到 安装 目录＼ ｒｊｃｓ ｒ ｏ＼ｉ ｎｅ ｐｏｅ ｔ— ｏ ｔ ｌ ｅ ｓｓ目录下 ， ｃ 并
第１ 卷
第５ 期
指 挥 信 息 系 统 与 技 术
Ｃ ｍｍａ ｄＩ ｆ ｒ ｔｏ ｙ ｔｍ ＆ Ｔｅ ｈ ｏｏ ｙ ｏ ｎ ｎ ｏ ｍａ ｉｎ Ｓ ｓｅ ｃ ｎ ｌｇ
Ｖ ｏ１ Ｎｏ．５ ．１
２１ ０ ０年 １ Ｏ月
０Ｃ ． ０１ ｔ２ ０
・
实践 与应 用 ・
快 速 检 测代 码缺 陷 与 安全 漏 洞 的 方 法 与 实 践
ｂｉｉｉｓ， ｎ ｕ ｅ ｔ ｗ ｏ ｃ ｒ ｅ ｔｔ ｅ ． ｌｔｅ ａ ｄ ｓ ｇｇ ｓ ｓ ｈｏ ｔ ｏ ｒ ｃ ｈ ｍ
Ｋｅ ｒ ｙ ｗｏ ｄｓ：ｃ ｏｍｐ ｉｉ ｎ ｌ ｓ ｓ；ｃ ｄｅ ｄ ｆ ｃ ｓ；ｖ ｎ ｒ ｂｉｉｉ ｓ；ｓ ｔ ｒ ｅ ｔ ｏｓｔｖｅ ａ ａ ｙ ｉ ｏ ｅｅｔ ｕｌ ｅ ａ ｌｔｅ ｏｆｗａ ｅ ｔ ｓ
应 程
Ａｂ ｔ ａ ｔ ｓ ｒ ｃ ：Ｔｈｉ ｐ ｒｆｒ ｔｄ ｓ ｒｂ ｓｔ ｅ ｍｅ ｈ ｏ ｉ ｉ ｇ ｃ ｄ ｅ ｅ ｔ ｎ ｕｌ ｒ ｂｉｉｉ ｓｒ ｐ ｄｌ ｓｐａ ｅ ｉｓ ｅ ｃ ｉ ｅ ｈ ｔ ｏｄ ｆ ｒｆｎｄ ｎ ｏ ｅ ｄ ｆ ｃ ｓａ ｄ ｖ ｎｅ ａ ｌｔｅ ａ ｉ ｙ ｂ ｓ ｎ ｏｃ ｙ ｕ ｉ ｇ Ｋｌ ｋｗｏ ｋ Ｉ ｓ ｇ ，ｗｈｉｈ ｇ ｅ ｔｙ ｉ ｐ ｏ ｓ ｔ ｕａ ｉｙ ｏ ｏ ｓ ａ ｔ ｆｉｉ ｎ ｙ ｏ ｒ ｎ ｉ ｈｔ ｃ ｒ ａ ｌ ｍ ｒ ｖｅ ｈｅ ｑ ｌｔ ｆ ｃ ｄｅ ｎｄ ｈｅ ｅ ｆｃｅ ｃ ｆ ｔ ｓ ， ｎｄ ａ ｓ ｅ ｅ ｔ ｆ ｃ ｉ ｏ ｓ ｆ ｏｍ ｔｉ ｇ ｉ ｏ ｔ ｏ ｌ ｅ ｔ ａ ｌ ｏ ｐｒ ｖ ｎ ｓ ｄｅ ｅ ｔｖｅ ｃ ｄｅ ｒ ｇｅ ｔｎ ｎｔ ｈｅ ｆ ｌｏｗｉ ｔ ｇｅ ． ｎｇ ｓ ａ ｓ Ａｎｄ ｔ ｅ ｂ ｓ ｄ ｏｎ ｈ ｎ， ａ ｅ ａ ｌｃ ｔｏｎ ｅ ｍｐｌ ｓ，ｔ ｓ ｐｐ ｉａ ｉ ｘａ ｅ ｉ ｕｍｍａ ｉｅ ｎ ｘｐ ｉ ａ ｅ ｏ ｅ ｅ ｅ ａ ｉ ｅ ｃ ｄ ｅ ｅ ｔ ｎ ｌ ｒ — ｒｚ ｓ ａ ｄ ｅ ｌｃ ｔ ｓ ｓ ｍｅ ｒ ｐｒ ｓ ｎｔ ｔｖ ｏ ｅ ｄ ｆ ｃ ｓ ａ ｄ ｖｕ ｎｅ ａ
Ｍ ｅ ｈ ｄｓ ａ ｐ ｉ ａ ｉ ｎｓ ｔ ｏ ｎｄ Ａ ｐｌｃ ｔｏ
Ｃｈｅ ｎ Ｘｕｅ ｎ ｑｉ
（ ｅ２ ｔ ｓ ａ ｃ ｎ ｔｔ ｔ ｆＣｈｎ ｅ ｔｏ ｉｓＴｅ ｈ ｏｏ ｙＧｒ ｕ ｒ ｏ ａｉｎ，Ｎａ ｉ ｇ ２ ０ ０ ，Ｃｈｎ ） Ｔｈ ８ｈ Ｒｅ ｅ ｒ ｈ Ｉｓｉｕ ｅｏ ｉａＥｌｃｒ ｎｃ ｃ ｎ ｌｇ ｏ ｐＣｏ ｐ ｒ ｔｏ ｎｉ １ ０ ７ ｎ ｉａ
陈 学 勤
（ 中国电子科技 集 团公 司第二 十八研 究所 南京 ２ ０ ０ ） １ ０ ７
摘 要 ： 中 阐述 了使 用 Ｋｌｃ ｒ ｎ ｉｈ 快 速 检 测 代 码 缺 陷 与 安 全 漏 洞 的 方 法 ， 大提 高 了代 码 文 ｏ ｗｏｋＩｓｇ ｔ 大
质 量和 测试 效率 ， 避免 问题 代码 流入后 续阶段 。基 于测试 实践 案例 ， 炼 和详 解测 试 中经 常发现 的 提
代 码 缺 陷 与 安 全 漏 洞 ， 出正 确 修 改 方 法 。 给
关 键 词 ：集 成 分 析 ；代 码 缺 陷 ；安 全 漏 洞 ；软 件 测 试
中图分 类号 ： Ｐ １ ． ６ Ｔ ３ １ ５
文献标 识码 ： Ａ
Ｒａ ｄ Ｄｅ ｅ ｔｏ ｆ Ｃｏ ｅ Ｄｅ ｅ ｔ ｎｄ Ｖｕ ｎ ｒ ｂ ｌｔｅ ｐｉ ｔ ｃ ｉ ｎ ｏ ｄ ｆ ｃ ｓ ａ ｌ ｅ ａ ｉｉ ｉ ｓ：
Ｏ
引 目
开发 团 队在持 续集 成 和测试 中若能 有效 发现 软
析， 介绍 正确 修改 方法 。
用 Ｋ ｏ ｗｏ ｋ Ｉｓ ｈ ｌｃ ｒ ｎ ｉ ｔ分 析 缺 陷 的 过 ｇ
［］ ２
件代 码缺 陷 和存在 的安 全漏 洞 ， ： 如 内存 及资 源管 理 错误、 空指 针 问题 、 未初 始 化 变量 、 序 数据 管 理 问 程 题 、 冲区溢 出 、 组越 界 、 缓 数 未经验 证 的用户输 入 、 存