主流源代码存放报告***「在线咨询」

白盒代码审计系统建设实践

静态代码分析是指在不实际执行程序的情况下，对代码语义和行为进行分析，由此找出程序中由于错误的编码导致异常的程序语义或未定义的行为。通俗的说，静态代码分析就是在代码编写的同时就能找出代码的编码错误。你不需要等待所有代码编写完毕，也不需要构建运行环境，编写测试用例。它能在软件开发流程早期就发现代码中的各种问题，从而提高开发效率和软件质量。

静态AST（SAST）技术通常在编程和/或测试软件生命周期（SLC）阶段分析应用程序的源代码，字节代码或二进制代码以查找安全漏洞。

商业产品分析Coverity、Fortify、CheckMarx 作为白盒静态扫描领域的产品，拥有极其深厚的技术积累以及的产品技术团队。其产品能力都为业界。笔者曾经和Coverity的售前及售后团队有过一定的交流，可以总结以上商业产品的优点及缺点优点深厚的技术积累，产品能力强大，在SAST领域内少有不支持扫描的漏洞类型

售后团队，能较为理解用户需求缺点定制化需求支持困难，引擎对用户不透明，需求提交给厂商响应时长为 Month ++

规则学习成本高，规则学习文档不完善，自定义规则困难

厂商以大并发量授权license，弹性扩容能力差，存在成本浪费

漏洞模型难以适配每个用户自己内部的漏洞模型，难以准确处理误报、漏洞修复复查等业务需求

融入企业自身的CI/CD流程困难，数据模型需要企业自己转换

源代码审计解决方案

服务描述

源代码审计就是检查源代码中的安全缺陷，开展源代码安全审计能够降低源代码出现的安全漏洞，构建安全的代码，提高源代码的可靠性，提高应用系统自身的安全防护能力。

◆ 服务流程

代码审计服务针对系统开发过程中的编码阶段、测试阶段、交付验收阶段、对各阶段系统源代码进行安全审计检测，利用数据流分析引擎、语义分析引擎、控制流分析引擎等技术，采用的源代码安全审计工具对源代码安全问题进行分析和检测并验证，从而对源代码安全漏洞进行定级，给出安全漏洞分析报告等，帮助软件开发的管理人员统计和分析当前阶段软件安全的威胁、趋势，跟踪和安全漏洞，提供软件安全质量方面的真实状态信息。

◆ 服务价值

1.源代码审计工作先于攻击者发现应用软件、程序中的安全漏洞，有助于客户及时做好代码加固工作；

2.源代码审计以代码安全为关注视角，以发现程序安全漏洞为目标，可提升软件开发人员的安全编程能力。

代码安全审计报告主要包含哪些内容

对于审计发现的问题，我们会对发现的问题进行相关分析并出具报告。针对具体的漏洞，报告中主要会包含以下内容：

1、指出该安全漏洞可能对目标系统产生的影响

2、对致漏洞的具体代码进行定位，分析形成漏洞的具体原因

3、对漏洞利用方式进行阐述，可以在客户提供的测试系统中进行验证测试

4、对漏洞的可利用行和风险等级进行评定

5、给出修复该漏洞的正确方案