小议SCA漏洞可达性分析

2024-03-19 03:52

本文主要是介绍小议SCA漏洞可达性分析,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

        开源治理中普遍采用SCA工具即软件成分分析工具进行开源组件及其漏洞分析,而随着SCA工具在供应链安全中的运用,越来越多的企业发现一个问题,就是SCA检测报告中大量的漏洞是否可以被验证、可以被利用。于是漏洞可达性便被提到了日程上,从衡量一款漏洞检测工具普遍采用假阳性(误报)率和假阴性率(漏报)来度量的话,不能简单的认为就是误报,更不是漏报,因为从包含关系上来讲,不管是直接依赖还是间接依赖的组件,这些组件被我们的系统存在关系,但是这些组件有的被调用,有的只是在构建配置文件中包括进来了,但是实际上并没有被真正调用。 或者更一步来说,某个漏洞只是存在某个开源组件的某个方法中,而这个方法是否被调用了呢?只有被调用才存在漏洞被利用的可能性。而对于组件粒度,还是方法/函数粒度,通过构建配置文件分析的检测引擎应该是很难实现可达性分析的,只有采用同源分析技术的检测引擎,或者采用两种引擎相结合的SCA工具,才具备了可达性分析的必要条件,因为要做可达性分析,必然要做某个方法是否被调用,那函数是否与含有漏洞的组件中函数一致或相似,就需要运用同源分析技术,且代码指纹要做到函数级。

       采用同源分析只是一个条件,还做到可达性分析,必然要对整个项目做调用关系分析,也就是做一个逆向工程,如果绘制出整个被检测系统的函数调用图是否就意味着可以判断漏洞可以被触发呢?不尽然。因为存在调用关系但不意味着在数据流、控制流上一定可以执行到该存在某个漏洞的函数。因为如果这个函数是不可达代码呢,逻辑上是无法满足调用该函数的条件呢?所以需要静态分析中的图可达分析等相关的分析,才能真正判断出漏洞可达性。所以说,SCA工具要实现漏洞可达性分析,必然离不开SAST工具分析中产生的函数调用图,控制流图等。如果厂商SAST工具无法产生这些输出,那就算SCA工具和SAST工具结合,漏洞可达性分析实现上也是很难做到得的。

下面是库博SCA工具在实现中产生的函数调用图。

(结束)

这篇关于小议SCA漏洞可达性分析的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/824699

相关文章

Spring事务中@Transactional注解不生效的原因分析与解决

《Spring事务中@Transactional注解不生效的原因分析与解决》在Spring框架中,@Transactional注解是管理数据库事务的核心方式,本文将深入分析事务自调用的底层原理,解释为... 目录1. 引言2. 事务自调用问题重现2.1 示例代码2.2 问题现象3. 为什么事务自调用会失效3

找不到Anaconda prompt终端的原因分析及解决方案

《找不到Anacondaprompt终端的原因分析及解决方案》因为anaconda还没有初始化,在安装anaconda的过程中,有一行是否要添加anaconda到菜单目录中,由于没有勾选,导致没有菜... 目录问题原因问http://www.chinasem.cn题解决安装了 Anaconda 却找不到 An

Spring定时任务只执行一次的原因分析与解决方案

《Spring定时任务只执行一次的原因分析与解决方案》在使用Spring的@Scheduled定时任务时,你是否遇到过任务只执行一次,后续不再触发的情况?这种情况可能由多种原因导致,如未启用调度、线程... 目录1. 问题背景2. Spring定时任务的基本用法3. 为什么定时任务只执行一次?3.1 未启用

C++ 各种map特点对比分析

《C++各种map特点对比分析》文章比较了C++中不同类型的map(如std::map,std::unordered_map,std::multimap,std::unordered_multima... 目录特点比较C++ 示例代码 ​​​​​​代码解释特点比较1. std::map底层实现:基于红黑

Spring、Spring Boot、Spring Cloud 的区别与联系分析

《Spring、SpringBoot、SpringCloud的区别与联系分析》Spring、SpringBoot和SpringCloud是Java开发中常用的框架,分别针对企业级应用开发、快速开... 目录1. Spring 框架2. Spring Boot3. Spring Cloud总结1. Sprin

Spring 中 BeanFactoryPostProcessor 的作用和示例源码分析

《Spring中BeanFactoryPostProcessor的作用和示例源码分析》Spring的BeanFactoryPostProcessor是容器初始化的扩展接口,允许在Bean实例化前... 目录一、概览1. 核心定位2. 核心功能详解3. 关键特性二、Spring 内置的 BeanFactory

MyBatis-Plus中Service接口的lambdaUpdate用法及实例分析

《MyBatis-Plus中Service接口的lambdaUpdate用法及实例分析》本文将详细讲解MyBatis-Plus中的lambdaUpdate用法,并提供丰富的案例来帮助读者更好地理解和应... 目录深入探索MyBATis-Plus中Service接口的lambdaUpdate用法及示例案例背景

MyBatis-Plus中静态工具Db的多种用法及实例分析

《MyBatis-Plus中静态工具Db的多种用法及实例分析》本文将详细讲解MyBatis-Plus中静态工具Db的各种用法,并结合具体案例进行演示和说明,具有很好的参考价值,希望对大家有所帮助,如有... 目录MyBATis-Plus中静态工具Db的多种用法及实例案例背景使用静态工具Db进行数据库操作插入

Go使用pprof进行CPU,内存和阻塞情况分析

《Go使用pprof进行CPU,内存和阻塞情况分析》Go语言提供了强大的pprof工具,用于分析CPU、内存、Goroutine阻塞等性能问题,帮助开发者优化程序,提高运行效率,下面我们就来深入了解下... 目录1. pprof 介绍2. 快速上手:启用 pprof3. CPU Profiling:分析 C

MySQL表锁、页面锁和行锁的作用及其优缺点对比分析

《MySQL表锁、页面锁和行锁的作用及其优缺点对比分析》MySQL中的表锁、页面锁和行锁各有特点,适用于不同的场景,表锁锁定整个表,适用于批量操作和MyISAM存储引擎,页面锁锁定数据页,适用于旧版本... 目录1. 表锁(Table Lock)2. 页面锁(Page Lock)3. 行锁(Row Lock