37、源代码安全分析：工具与实践

源代码安全分析：工具与实践

1. 安全漏洞报告与构建流程集成

在进行软件安全分析时，若发现安全漏洞，应及时向相关团队报告。例如，对于已讨论过的安全漏洞，需报告给 WU FTPD 团队，且这些漏洞已被修复。

为了分析 WU FTPD，需要在调用编译器时同时调用 Fortify 的源代码分析器，这样就能对项目中的每个源文件进行分析。具体操作是编辑 makefile（若使用 Java 则编辑 Ant 构建脚本），使其包含 “sourceanalyzer” 以及所需的命令行参数。

原始的 makefile 如下：

#
# Generic Makefile for autoconf'ed build
#
CC=gcc
CFLAGS=$(WARNINGS) -g -O2
LDFLAGS=
YACC=bison -y
…

修改后的 makefile 为：

#
# Generic Makefile for autoconf'ed build
#
CC=sourceanalyzer -f wuftpd.xml –type fvdl -c gcc
CFLAGS=$(WARNINGS) -g -O2
LDFLAGS=
YACC=bison -y
…

在这个例子中，sourceanalyzer 的 -f 选项用于指定输出文件（wuftpd.xml）， -type 选项指定将结果格式化为 Fortify