BogoSec 是一个源代码评测工具，它封装了很多源代码扫描程序，会对目标代码调用这些程序，并得到一个最终分数，从而近似地反映代码的安全质量。本文讨论了 BogoSec 所采用的方法和实现，并给出了对很多测试用例运行 BogoSec 的结果，包括 Apache Web server、OpenSSH、Sendmail、Perl 等。

背景知识

CERT Coordination Center（CERT/CC）在 2005 年报告了 5,990 个漏洞，而在 1995 年，只报告了 171 个。很多的软件安全性漏洞都是由于编程习惯不好而产生的。有些漏洞可以使用专门为识别潜在安全性问题而设计的静态源代码扫描程序通过算法分析而检测出来。随着每行代码中可能存在安全漏洞的代码的数量和严重程度的增加，我们有理由相信源代码在安全性方面的总体质量正在降低。BogoSec 的测试结果就是一些计算出来的数值，它们试图反映对源代码安全质量的相关评价，从而可以将这些结果进行比较分析。

BogoSec 的动机是让开发人员可以随着时间的推移而不断编写出更加安全的源代码。其中有很多扫描程序，它们可以向开发人员指出代码中可能不安全的地方；不过开发人员通常都不会主动使用这些扫描程序，因为它们有时会输出一些错误的报告，并且使用起来也有一些困难。BogoSec 试图减少误报的情况，并通过使用多个独立的扫描程序来扩展对源代码进行扫描的范围。这样可以生成高级的评测结果，让开发人员和用户可以从安全性的角度对源代码的质量进行比较判断。

回页首

下载