Статический анализ

[thedeemon]

Занятное письмо сегодня пришло (фрагмент). Компания Боинг наняла Veracode, чтобы проверить весь покупаемый ею софт на уязвимости. Те написали нам, как поставщику софта для Боинга, чтоб приготовили бинарники в нужном виде, будут их анализировать. В данном случае речь о десктопном софте на C#, посмотрим, найдется ли в нем что-нибудь интересное.

Comments

[kiryl.livejournal.com]

Анализировать на уязвимости бинарники -- это как-то черезжопно. Как узнать к какому компоненту эта уязвимость относится: компилятор-библиотеки-проект?

[nponeccop.livejournal.com]

Это стандартный black box vulnerability assessment, не? Соответственно перед обсуждением черезжопности надо как минимум ознакомиться с лит-рой по теме.

[thedeemon.livejournal.com]

В случае .net анализируют байткод, там все очевидно.
Для нативного кода просят дебаг билд и указание чем именно собиралось, так что отделить рантайм от прикладного кода несложно. Ну а уж по чьей вине возникла дыра - компилятор или библиотека или мы - это уже не важно, если ее нашли, то она есть, надо ее исправлять.