Статический анализ

[thedeemon]

Занятное письмо сегодня пришло (фрагмент). Компания Боинг наняла Veracode, чтобы проверить весь покупаемый ею софт на уязвимости. Те написали нам, как поставщику софта для Боинга, чтоб приготовили бинарники в нужном виде, будут их анализировать. В данном случае речь о десктопном софте на C#, посмотрим, найдется ли в нем что-нибудь интересное.

Comments

[stdray.livejournal.com]

А как они вообще анализировать собрались? Veracode - это хакеры, да?

[wizzard]

ммм, статическому анализу не год и не два ;)

не говоря уже о MSIL, который анализировать удобнее, чем исходный сишарп ;)

[stdray.livejournal.com]

Я не в курсе, что именно они собрались делать. У них какой-то свой анализатор? Так-то проанализировать и сам thedeemon мог.

[thedeemon.livejournal.com]

Да, у них набор своих анализаторов. В педивикии о них и их истории написано что-то.

[wizzard]

а) свой
б) я считаю, что анализировать код в общем случае должен не тот, кто его писал, т.к. у того, кто писал - в голове идеализированная модель, а читающий - строит фактическую. Использование тулзов разницу слегка сглаживает, но незначительно.