Статический анализ
Oct. 2nd, 2012 07:31 pm![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
thedeemonЗанятное письмо сегодня пришло (фрагмент). Компания Боинг наняла Veracode, чтобы проверить весь покупаемый ею софт на уязвимости. Те написали нам, как поставщику софта для Боинга, чтоб приготовили бинарники в нужном виде, будут их анализировать. В данном случае речь о десктопном софте на C#, посмотрим, найдется ли в нем что-нибудь интересное.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
no subject
Date: 2012-10-02 01:00 pm (UTC)no subject
Date: 2012-10-02 01:10 pm (UTC)no subject
Date: 2012-10-02 01:48 pm (UTC)Для нативного кода просят дебаг билд и указание чем именно собиралось, так что отделить рантайм от прикладного кода несложно. Ну а уж по чьей вине возникла дыра - компилятор или библиотека или мы - это уже не важно, если ее нашли, то она есть, надо ее исправлять.
no subject
Date: 2012-10-02 01:07 pm (UTC)no subject
Date: 2012-10-02 01:31 pm (UTC)не говоря уже о MSIL, который анализировать удобнее, чем исходный сишарп ;)
no subject
Date: 2012-10-02 01:48 pm (UTC)no subject
Date: 2012-10-02 01:50 pm (UTC)no subject
Date: 2012-10-02 02:25 pm (UTC)б) я считаю, что анализировать код в общем случае должен не тот, кто его писал, т.к. у того, кто писал - в голове идеализированная модель, а читающий - строит фактическую. Использование тулзов разницу слегка сглаживает, но незначительно.
no subject
Date: 2012-10-02 01:33 pm (UTC)no subject
Date: 2012-10-02 01:54 pm (UTC)Упоминаются С/С++, C#, VB.NET, ASP.NET, Java, ColdFusion, PHP, Ruby on Rails, Android/Java, Ovective C.
no subject
Date: 2012-10-02 02:58 pm (UTC)no subject
Date: 2012-10-03 05:12 am (UTC)no subject
Date: 2012-10-03 05:57 am (UTC)no subject
Date: 2012-10-03 04:05 pm (UTC)no subject
Date: 2012-10-03 04:14 pm (UTC)