静态代码扫描原理

静态代码扫描存在的价值

1. 研发过程，发现BUG越晚，修复的成本越大
2. 缺陷引入的大部分是在编码阶段，但发现的更多是在单元测试、集成测试、功能测试阶段
3. 统计证明，在整个软件开发生命周期中，30% 至 70% 的代码逻辑设计和编码缺陷是可以通过静态代码分析来发现和修复的

以上三点证明了，静态代码扫描在整个安全开发的流程中起着十分关键的作用，且实施这件事情的时间点需要尽量前移，因为扫描的节点左移能够大幅度的降低开发以及修复的成本，能够帮助开发人减轻开发和修复的负担，许多公司在推行静态代码扫描工具的时候会遇到大幅度的阻力，这方面阻力主要来自于开发人员，由于工具能力的有限性，会产生大量的误报，这就导致了开发人员很可能在做BUG确认的工作时花费了大量的无用时间。因此选择一款合适的静态代码分析工具变得尤为重要，合适的工具能够真正达到降低开发成本的效果。

静态代码分析理论基础和主要技术

静态代码分析原理分为两种：分析源代码编译后的中间文件（如Java的字节码）；分析源文件。主要分析技术如下：

• 缺陷模式匹配

     事先从代码分析经验中收集足够多的共性缺陷模式，将待分析代码与已有的共性缺陷模式进行匹配，从而完成软件安全分析。优点：简单方便；缺点：需要内置足够多的缺陷模式，容易产生误报。
     

• 类型推断/类型推断

     类型推断技术是指通过对代码中运算对象类型进行推理，从而保证代码中每条语句都针对正确的类型执行。
     

• 模型检查

     建立于有限状态自动机的概念基础上。将每条语句产生的影响抽象为有限状态自动机的一个状态，再通过分析有限状态机达到分析代码目的。
     校验程序并发等时序特性。
     

• 数据流分析

     从程序代码中收集程序语义信息，抽象成控制流图，可以通过控制流图，不必真实的运行程序，可以分析发现程序运行时的行为。
  

静态代码扫描工具

1. Fortify SCA(Source Code Analysis)

网址：http://www.fortify.net/

Fortify Software公司是一家总部位于美国硅谷，致力于提供应用软件安全开发工具和管理方案的厂商。Fortify为应用软件开发组织、安全审计人员和应用 安全管理人员提供工具并确立最佳的应用软件安全实践和策略，帮助他们在软件开发生命周期中花最少的时间和成本去识别和修复软件源代码中的安全隐患。 Fortify SCA是Fortify360产品套装中的一部分，它使用fortify公司特有的X-Tier Dataflow™ analysis技术去检测软件安全问题。

优点：全球最大的静态代码检测厂商，支持语言较多

缺点：价格太过昂贵，性价比不高

2. Checkmarx CxSuite

网址：https://www.checkmarx.com/

Checkmarx 是以色列的一家高科技软件公司。它的产品CheckmarxCxSuite专门设计为识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险。首创了以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术来扫描和分析源代码中的安全漏洞和弱点。

优点：可以利用CxQL 查询语言自定义规则

缺点：输出报告不够美观、语言支持种类不全面，价格昂贵

3. Coverity

网址：https://scan.coverity.com/

Coverity公司是由一流的斯坦福大学的科学家于2002年成立的，产品核心技术是1998年至2002年在斯坦福大学计算机系统实验室开发的，用于解决一个计算机科学领域最困难的问题，在2003年发布了第一个能够帮助Linux、FreeBSD等开源项目检测大量关键缺陷的系统，Coverity是唯一位列IDC前10名软件质量工具供应商的静态分析工具厂商，被第三方权威调查机构VDC评为静态源代码分析领域的领导者，市场占有率处于绝对领先地位。

优点：可以检测二进制文件，分析能力较强

缺点：价格昂贵

4. 源伞科技Pinpoint

网址：https://www.sourcebrella.com/

源伞科技公司是香港科技大学安全实验室的众多博士创建的，产品集成了实验室多年的研究成果，在众多国际顶级学术会议上都发表了成果论文，在学术界有很大的影响。近几年源伞科技将静态代码检测产品Pinpoint成功商业化。目前产品已经比较成熟，能够方便的集成各种安全开发流程，操作界面流畅。能够直接扫描JAVA的二进制文件，在Java和c/c++两种语言上的分析能力十分强大，扫描速度普遍快于市面上现有的产品，且拥有众多国内一线互联网以及金融公司的安全开发实例经验，不仅能够输出工具产品，也能够提供安全开发的解决方案。在国内静态代码分析领域处于领先地位。

优点：分析能力强，使用方便友好，价格透明亲民

缺点：还未支持C#以及OC，目前支持C/C++，Java，Android，JS，PHP，Python，Golang，Sql
为国产静态检测工具源伞科技Pinpoint打Call!