静态/动态源代码分析

Question

我上了一门名为“安全代码”的课程，在我们的下一个作业中，我们应该对一些C文件和一个JavaEE网络项目进行静态/动态分析。

我查看了“源监视器”并在C文件上运行它，但是(除非我不知道如何使用它！)它似乎做不到我想要的。

考虑到这个主题，我很有兴趣知道是否有工具可以检测“不安全”代码，即通过缓冲区溢出、SQL注入、XSS ...所以我希望它指出哪些函数应该“升级”(例如，fgets而不是get，或者PreparedStatement而不是普通的SQL语句)

注意:我更喜欢开源软件，可能是Windows (我在VM上有Ubuntu，但我真的不太擅长……我通常花更多的时间来了解如何配置这些工具，而不是运行它们)。

谢谢你的提示！

Answer 1

Frama-C's value analysis是开源的available pre-compiled for Windows，用于查找this one in the QuickLZ C library或this one in Polar SSL等安全缺陷。

这就是说，你可能会发现，仅仅是学校作业需要习惯很多东西，然后，你真的希望在学校作业中发现安全漏洞吗？

Answer 2

对于SQL项目，可以使用持久化API，并且可以使用非JavaEE语句，这在理论上是不可能的！最好的开源工具是Hibernate。它很容易使用，而且非常灵活。