Wie finde ich Sicherheitslücken in meinem Source-Code?
Das Original, und nach wie vor die beste Methode zum Auffinden von Sicherheitslücken im Quellcode ist zu lesen und zu verstehen, den Source Code.
Source-Code Sicherheitslücken wird zwischen Sprachen und Plattformen.
Artikel suchen in C-Code gehören:
| Potenzielle Sicherheitslücke | Funktionsaufrufe zu prüfen, für Sicherheitslücken |
|---|---|
| Buffer Overflows | gets (), scanf (), sprintf (), strcat (), strcpy () |
| Format-String-Schwachstellen | printf (), fprintf (), vprintf () snprintf (), vsnprintf (), syslog () |
| Race Conditions | Zugang (), chown (), chgrp (), chmod (), mktemp (), tempnam (), tmpfile (), tmpnam () |
| Zufallszahl Erwerb Schwachstellen | rand (), random () |
| Shell Metacharacter Schwachstellen | exec (), popen (), system () |
Automated Source Code Security Vulnerability Scanner
Es sind intelligente Werkzeuge zur Verfügung, damit Sie prüfen, große Mengen von Source-Code für Sicherheitslücken.
| Tool | Beschreibung |
|---|---|
| Flawfinder | Untersucht Quellcode und Berichte potenzielle Sicherheitslücken |
| RATTEN von Secure-Software-Lösungen | Scans C, C + +, Perl, PHP und Python-Source-Code für potenzielle Sicherheitsmängel auf. |
| ITS4 von Cigital | Scans Quellcode der Suche nach potenziell gefährdeten Funktionsaufrufe und Vorformlingen Quellcode-Analyse zur Bestimmung der Höhe des Risikos |
| Pscan | Eine begrenzte Problem-Scanner für die C-Source-Dateien |
| BOON | Pufferüberlauf-Erkennung |
| MOPS | Modelchecking Programme für Sicherheit Eigenschaften |
| Cqual | Ein Werkzeug für das Hinzufügen von Typ C-Qualifikation zu |
| MC | Meta-Level-Compilation |
| SLAM | Microsoft |
| ESC/Java2 | Erweiterte Statische Prüfung für Java Version 2 |
| Splint | Secure Programming Lint |
| MOPED | Ein Model-Checker für Pushdown Systems |
| JCAVE | JavaCard Applet Überprüfung Umwelt |
| Die Boop Toolkit | Verwendet Abstraktion und Verfeinerung, um die Erreichbarkeit des Programms in ein C-Programm |
| Blast | Berkeley Lazy Abstraction Software Verification Tool |
| Uno | Einfaches Werkzeug für Quellcode-Analyse |
| PMD | Scans Java Quellcode und sucht nach möglichen Problemen |
| C + + Test | Unit-Tests und statische Analyse-Tool |
Für weitere Informationen über die Source-Code-Scanner, lesen Sie Source-Code-Scanner für besseren Code im Linux Journal.
Für mehr Informationen über sicheres Programmieren, lesen Sie bitte die sichere Programmierung für Linux-und Unix-HOWTO.
Finden Sie Quellcode Schwachstellen im Code mit Hilfe der Bücher über die sichere Programmierung von Amazon.com
 |
Vulnerability Management für Dummies
Unsere Freunde von Qualys bietet kostenlose Kopien der elektronischen Version der Vulnerability Management für Dummies zu Tech-FAQ Leser. Vulnerability Management für Dummies:
|  |
| Viren-Scan Versuchen Sie eine kostenlose Viren-Scan mit Kaspersky heute. | Anti-Malware High Performance Anti-Malware-Software von Sunbelt Software |
