源碼檢測 Visual Code Grepper
聊一聊 —「 源碼檢測 (Source Code Analysis)」 的議題。 記得之前我們有談過 「 弱點掃描 (V ulnerability Scanning ) 」 的部分，如果各位還記得的話，這個部份是比較屬於 系統層面 的弱點檢測，也是屬於 「 黑箱測試 (Black-Box Testing) 」 的範圍。而今天所要談到的源碼檢測也就是所謂的 「 程式碼掃描 (C ode Review ) 」 ，這個部份是直接對程式碼做掃描，進而檢測出弱點並即時做程式碼的修正，這個範疇就是所謂的 「白箱測試 (White-Box Testing)」 。 一般做軟體程式開發時，研發人員在開發的過程中就會進行所謂的 「單元 測試 (Unit Test) 」 ，在 Alpha版 release 之前會就進行所謂的 Code Review ，初次的程式碼掃描多數是由 RD 完成，到最後要 release 到 Beta版 前就會交由 QA 進行最後的 Source Code Analysis 。因為大多數的程式開發人員，都沒有資訊安全的背景，所以做源碼檢測是有其必要性的。 而今天就要來介紹一個源碼檢測工具 —VCG(Visual Code Grepper) ，之所以會選擇這個工具的原因，不外乎它是一個 Freeware 免費軟體，再來就是它可以檢測的程式語言，包含支援 C/C++、C#、VB、PHP、Java、PL/SQL 等等，它所產出的測試報告除了可以明確指出有風險的程式碼之外，還可以提供建議的修正方法，並有圖表說明各種程度的風險所佔的百分比，還可以將掃描結果另存成文字檔，以提供正式測試報告說明使用。 以下就這一節的圖解說明： Step 1: Download the installer from official website or File link as below. VCG-Setup.msi http://sourceforge.net/projects/visualcodegrepp/?source=typ_redirect Step 2: After ...