web-dev-qa-db-ja.com

脆弱性のソースコードをスキャンするための優れたオープンソースツールを提案できる人はいますか？

特にC/C++コードの脆弱性を検出するものを探しています。たくさんのプロプライエタリなツールを見てきましたが、オープンソースのツールはありません。

appsectoolscode-reviewvulnerability-scanners
11
Magnus

FortifyがリリースしたRATS： http://code.google.com/p/rough-auditing-tool-for-security/ 。試してみることはできますが、商用ツールとオープンソースツールの両方の結果にはあまり満足していません。おそらく商用ツールは少し良い結果を示します。問題は、今日、いくつかの理由により多くの明らかなバグが絶滅することです。はい、まだバグが多く不安定なソフトウェアが存在し（常に存在します）、そのようなツールはそれらのバグを検出しますが、トリッキーではありません。ほとんどの作業はまだ手動で行う必要があります。

5
anonymous

FlawFinderのDavid Wheelerには、（30）OSS/FSおよび（14）独自の静的分析ツールの優れたリストがあります。

http://www.dwheeler.com/flawfinder/#othertools

7
Josh Brower

番号。

この場合の「良い」は、「ソースコードをスキャンするためのツール」とほとんど矛盾しています。特に無料のもの-ここでオープンソースをノックしないでください、ほとんどの商用のものも吸います。

私が見た（そしてこれをかなり研究した）最高の（商用の）ツールは Checkmarx でした。 （開示-私は彼らのために働いていませんが、私は過去に彼らと働いたことがあります）。
リストの下にあるのはIBM/Ounce（現在はIBM Rational Appscan Source code Editionと呼ばれるか、またはそのようなものです...）です。
さらに下にあるのは、Klockworcksなどの「第2層」の商用ツールです...私のリストのはるか下にあるのは、現在の存在です Fortify （現在HPが所有しています） 。

それらすべては商業的であり商業的であり、非常に高価であることに注意してください。

リストの下にあるのは無料/オープンソースツールです。これらのツールは単純なテキスト検索を行うだけなので、たとえば、 grep。
このリスト-RATS、ITS4、FlawFinder、その他のいくつか...しかし、それらはかなり同等であり、ロジックが多くなく、コンパイルも行われていません。

CとC++の外を見ていた場合、OWASPツールを除いて、それほど違いはありません。 O2 for .NET、LAPSE for Java ...

6
AviD