静态分析工具汇总

时间  2019-11-19
标签 静态 分析 工具 汇总 栏目 网站开发 繁體版
原文   原文链接

静态代码扫描，借用一段网上的原文解释一下(这里叫静态检查)：“静态测试包括代码检查、静态结构分析、代码质量度量等。它能够由人工进行，充分发挥人的逻辑思惟优点，也能够借助软件工具自动进行。代码检查代码检查包括代码走查、桌面检查、代码审查等，主要检查代码和设计的一致性，代码对标准的遵循、可读性，代码的逻辑表达的正确性，代码结构的合理性等方面；能够发现违背程序编写标准的问题，程序中不安全、不明确和模糊的部分，找出程序中不可移植部分、违背程序编程风格的问题，包括变量检查、命名和类型审查、程序逻辑审查、程序语法检查和程序结构检查等内容。”。

我看了一系列的静态代码扫描或者叫静态代码分析工具后，总结对工具的见解：静态代码扫描工具，和编译器的某些功能实际上是很类似的，他们也须要词法分析，语法分析，语意分析...但和编译器不同的是他们能够自定义各类各样的复杂的规则去对代码进行分析。

如下将会列出的静态代码扫描工具，会因为实现方法，算法，分析的层次不一样，功能上会差别很大。有的能够作SQL注入的检查，有的则不能(固然，因为时间问题尚未对规则进行研究，但要检查复杂的代码安全漏洞，是须要更高深分析算法的，因此有的东西应该不是设置规则库就能够检查到的，但在安全方面的检查，必定程度上也是能够经过设置规则进行检查的)。
php

.NEThtml

Ç，C ++ 

  • Astrée  -查找全部可能的运行时错误由抽象解释，能够证实不存在运行时错误，并能证实功能的断言; 针对对安全相当重要的C代码（例如航空电子设备）。
  • BLAST  - （伯克利懒惰抽象软件验证工具） -对C程序的基础上慵懒抽象的开源软件模型检测（后续项目CPAchecker。[5]）。
  • Cppcheck  -开源的工具来检查几种类型的错误，包括使用STL。
  • cpplint  -一个开源的工具，它检查是否符合谷歌的风格指南对C ++编码。
  • Clang   -一个开放源代码编译器，它包括一个静态分析器它包括一个静态分析器。
  • Coccinelle的  -一个开源的源代码模式匹配和改造。
  • Cppdepend  -简化了管理，经过分析和可视化代码的依赖关系，经过定义设计规则，这样作影响分析，并比较不一样版本的代码的复杂的C / C ++代码库。
  • ECLAIR  -对于自动分析，验证，C和C ++程序的测试和转化的平台。
  • Eclipse（软件）  -一种开放源码的IDE，包括静态代码分析仪（CODAN）。
  • Fluctuat  - 抽象解释的程序数值属性的验证。
  • Frama-C  -一个开源的静态分析框架C.
  • Goanna  -软件分析工具，用于C / C ++。
  • Klocwork的静态代码分析  -静态分析工具，用于C / C ++。
  • Lint -原来的静态代码分析仪C.
  • LDRA Testbed  -软件分析与测试工具套件的C / C ++。
  • Parasoft C / C ++test  - C / C ++工具，它的静态分析，单元测试，代码审查，而且运行时错误检测; 可用于插件的Visual Studio和Eclipse的基础的集成开发环境。
  • PC-Lint -软件分析工具，用于C / C ++。
  • Polyspace  -使用抽象解释检测和证实不存在的运行时间错误，在死代码的源代码以及用于检查全部MISRA（2004，2012），规则（指令，非指令）。
  • PVS-Studio  -软件分析工具，用于C，C ++，C ++ 11，C ++ / CX（组件扩展）。
  • PRQA QA·C与QA·C ++  -的C / C ++质量保证和方针/编码标准执法与MISRA支持深度静态分析。
  • SLAM project  -一期工程微软研究院检查它使用的接口软件知足的关键行为属性。
  • Sparse  -一个开源工具，旨在发现故障的Linux内核。
  • Splint  -一个开源的进化版皮棉，为C.
  • ...

Java

  • Checkstyle  -除了一些静态代码分析，它能够用来显示侵犯一个配置编码标准。
  • FindBugs  -一个开源的静态分析字节码的Java（基于雅加达 BCEL马里兰大学）。
  • IntelliJ IDEA -跨平台的Java IDE，具备本身的一套几百代码检查可在即时在整个项目的编辑和批量分析分析代码。
  • JArchitect  -简化了分析和可视化代码的依赖关系，经过定义设计规则，这样作影响分析，并经过比较不一样版本的代码管理复杂的Java代码库。
  • Jtest  -测试和静态代码分析产品经过Parasoft的。
  • LDRA Testbed   -软件分析与测试工具套件的Java。
  • PMD  -静态规则集基于Java源代码分析器，可以识别潜在问题。
  • SemmleCode  -面向对象的代码查询静态程序分析。
  •  Sonargraph（原SonarJ） -代码为目的的架构显示器的一致性，也计算了普遍的软件度量。
  • Soot  -一个语言处理和优化框架由中间语言的Java。
  • Squale  -管理软件质量的平台（也可用于其余语言，使用商业分析工具虽然）。
  • SonarQube  -对代码质量的持续检查的开源平台。
  • SourceQube  -一个独立于平台的命令行静态源代码分析器用于Java，C / C ++，RPG IV（AS / 400）和Python。
  • ThreadSafe  -一个静态分析工具，用于Java的重点是寻找并发错误。
  • ...

JavaScript

 

Objective-C, Objective-C++

  • Clang -免费锵项目包括静态分析。做为版本3.2，该分析仪包括在Xcode中 。[6]

Perl

Python的[ 编辑]

  • pylint -静态代码分析。很严格的; 包括许多文体警告也是如此。
  • PyCharm  -跨平台的Python IDE，具备代码检查可在即时在整个项目的编辑和批量分析分析代码。


　　如下我在网上搜集到的分析工具，我整理了如下挑了一些出来，这里只是一部分，另一些能够到参考连接上看一下:java

工具名 静态扫描语言 开源/付费 厂商 介绍 主页网址
ounec5.0 VB.Net、C、C++和C#，
还支持Java。		 付  费 Ounce Labs \ http://www.ouncelabs.com/
Coverity Prevent C/C++,C#,JAVA 付费 Coverity 还有其余辅助工具：
1.Coverity Thread Analyzer for Java
2.Coverity Software Readiness Manager for Java
3.Coverity Architecture Analyzer		 http://www.coverity.com/index.html
@stake SmartRisk™ 
Analyzer		 C/C++,Java 付费 Symantec 
Corporation		 @stake SmartRisk™ Analyzer harnesses the power of 
static analysis of binary executables (C, C++, and Java) to 
identify, categorize and prioritize security。
注：在Symantec没有搜到此产品？！		 http://www.symantec.com/business/index.jsp
Rational Purify C/C++,Java 付费 IBM Provides memory leak and memory corruption detection for 
Windows，Runtime?!		 http://www-01.ibm.com/software/awdtools/purify/
PREfix \ \ microsoft 微软用的静态分析工具，但暂时没有找到下载,
如今好像在考虑发布中!		 \
Jtext Java 付费 parasoft 同时还有其余静态分析代码的产品，如:C++Test...
详细请查询官网		 http://www.parasoft.com/jsp/cn/support.jsp
flawfinder C/C++ 开源 \ 用Python编写的c、c++程序安全审核工具，
能够检查潜在的安全风险。		 http://www.dwheeler.com/flawfinder/
Static Code 
Analyzer		 C/C++,C#,JAVA 付费 Fortify \ http://www.fortify.com/
Klocwork Insight C/C++ ,Java 付费 Klocwork \ http://www.klocwork.com/products/insight.asp
PolySpace
Client/Server		 C/C++、Ada语言 付费 MathWorks \ http://www.mathworks.cn/
rats C/C++, Python,
Perl, 
PHP代码进行安全审核的工具		 开源 \ \ http://www.fortify.com/security-resources/rats.jsp
LAPSE Java 开源 \ LAPSE stands for a Lightweight Analysis for Program 
Security in Eclipse. LAPSE is designed to help with 
the task of auditing Java J2EE applications for common 
types of security vulnerabilities found in Web applications.
LAPSE was developed by Benjamin Livshits as part of the 
Griffin Software Security Project.		 http://www.owasp.org/index.php/Category:OWASP_LAPSE_Project
Fluid java 开源 \ We have explored properties including:

    * race conditions and locking policies,
    * unique references and other programmer-significant
aliasing properties,
    * effects,
    * appropriate typing,
    * realtime threading policies, and
    * single-threading policies.		 http://www.fluid.cs.cmu.edu:8080/Fluid
Splint C 开源 University of 
Virginia,
Department of 
Computer
Science		 静态检测针对C语言的安全工具和漏洞检测。 http://www.splint.org/
cqual C/C++ 开源 马里兰大学 轻量级的静态扫描器，在类Linux系统下运行。 http://www.cs.umd.edu/~jfoster/cqual/
MOPS C 开源 berkeley大学 MOPS is a tool for finding security bugs in C programs 
and for verifying conformance to rules of defensive programming		 http://www.cs.berkeley.edu/~daw/mops/
BOON C 开源 berkeley大学 BOON is a tool for automatically finding buffer overrun 
vulnerabilities in C source code. Buffer overruns are one
of the most common types of security holes, and we hope 
that BOON will enable software developers and code auditors
to improve the quality of security-critical programs.		 http://www.cs.berkeley.edu/~daw/boon/
BLAST C 开源 The BLAST 
2.0 Team		 BLAST is a software model checker for C programs.  
The goal of BLAST is to be able to check that software
satisfies behavioral properties of the interfaces it uses.
BLAST uses counterexample-driven automatic abstraction
refinement to construct an abstract model which is model
checked for safety properties. The abstraction is constructed
on-the-fly, and only to the required precision.		 http://mtc.epfl.ch/software-tools/blast/
SpikeWAMP Php 开源 \ for analyzing PHP programs http://developer.spikesource.com/wiki/index.php/SpikeWAMP
Pixy Php 开源 \ Finding XSS and SQLI vulnerabilities http://pixybox.seclab.tuwien.ac.at/pixy/
Mike Java 开源 \ Java source code security scanner built on top of Orizon.
They are connected to OWASP.		 http://milk.sourceforge.net/download.html
Smatch C 开源 \ \ http://smatch.sourceforge.net/
Oink C++ 开源 \ C++ Static Analysis Tools http://www.cubewano.org/oink
Frama-C C 开源 \ static analyzers for the C language. http://frama-c.cea.fr/
RTL-check \ 开源 \ RTL-check is an extensible and powerful abstract interpretation
framework for static analysis of programs from a safety and
security perspective		 http://rtlcheck.sourceforge.net/
PMD Java 开源 \ PMD scans Java source code and looks for potential problems like:

    * Possible bugs - empty try/catch/finally/
switch statements
    * Dead code - unused local variables, parameters
and private methods
    * Suboptimal code - wasteful String/StringBuffer usage
    * Overcomplicated expressions - unnecessary if statements,
for loops that could be while loops
    * Duplicate code - copied/pasted code means copied/pasted bugs		 http://pmd.sourceforge.net/
FindBugs Java 开源 马里兰大学 uses static analysis to look for bugs in Java code.
注意：提供Eclipse插件。		 http://findbugs.sourceforge.net/
ITS4 C\C++ 开源 \ Cigital developed ITS4 to help automate source code
review for security.		 http://www.cigital.com/its4/
QJ-Pro Java 开源 \ QJ-Pro is a comprehensive software inspection tool targeted 
towards the software developer.

QJ-Pro checks:
    * conformance to coding standards,
    * misuse of the Java language,
    * best practice conformence
    * code structure and
    * potential bugs at the earliest stages of development.
注意：提供各类IDE插件！		 http://qjpro.sourceforge.net/
Jint Java 开源 \ Jlint will check your Java code and find bugs, inconsistencies
and synchronization problems by doing data flow analysis and
building the lock graph.		 http://artho.com/jlint/
Hammurapi Java 开源 \ code review system captures coding best practices and delivers
them to developers' fingertips. It also generates consolidated
reports for lead developers, architects, and managers to
monitor codebase quality and evolution.		 http://www.hammurapi.biz/hammurapi-biz/ef/xmenu/hammurapi-group/index.html
DoctorJ Java 开源 \ Among what it detects:

    * misspelled words
    * parameter and exception names:
          o missing
          o misordered
          o misspelled
    * Javadoc tags:
          o invalid
          o misordered
          o missing expected arguments
          o invalid arguments
          o missing descriptions
    * undocumented classes, methods, fields, 
parameters		 http://www.incava.org/projects/java/doctorj/index.html
Dependency Finder Java 开源 \ Dependency Finder is a suite of tools for analyzing
compiled Java code. At the core is a powerful dependency
analysis application that extracts dependency graphs and
mines them for useful information. This application comes
in many forms for your ease of use, including command-line 
tools, a Swing-based application, a web application ready
to be deployed in an application server, and a set of Ant
tasks.		 http://depfind.sourceforge.net/
Checkstyle Java 开源 \ Checkstyle is a development tool to help programmers
write Java code that adheres to a coding standard.
It automates the process of checking Java code to spare
humans of this boring (but important) task. This makes
it ideal for projects that want to enforce a coding standard. 
注意：提供多种IDE的插件。		 http://checkstyle.sourceforge.net/
Classycle Java 开源 \ Classycle's Analyser analyses the static class and package
dependencies in Java applications or libraries.		 http://classycle.sourceforge.net/
JDepend Java 开源 \ JDepend traverses Java class file directories and generates
design quality metrics for each Java package. 
JDepend allows you to automatically measure the quality
of a design in terms of its extensibility, reusability,
and maintainability to manage package dependencies effectively.		 http://www.clarkware.com/software/JDepend.html
JCSC Java 开源 \ JCSC is a powerful tool to check source code against a highly
definable coding standard and potential bad code.		 http://jcsc.sourceforge.net/

......

如下是直接提供代码检查/相关帮助的厂商：c++

Fortify:　　git

http://www.fortify.com/web

ASPECT:　算法

http://www.aspectsecurity.com/express

OWASP:   编程

http://www.owasp.org/index.php/Main_Pageapi

securitycompass:

http://www.securitycompass.com/resources.shtml


参考资料：

1. http://www.dwheeler.com/flawfinder/
2. http://www.java2s.com/Product/Java/Byte-Source-Code/Source-Analysis-Diagram.htm
3. http://www.softwarelist.cn/?fsid=53&cid=530&cpath=ABAN
4. http://www.hacker.com.cn/article/view_14804.html
5. http://www.cs.cmu.edu/~aldrich/courses/654/tools/

注：以上连接列举了大量相关工具
Source URL: http://www.pin5i.com/showtopic-22624.html

仅供学习！

相关文章
相关标签/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公众号
   欢迎关注本站公众号,获取更多信息
联系我们 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程