静态代码分析工具汇总
静态代码扫描,借用一段网上的原文解释一下(这里叫静态检查):“静态测试包括代码检查、静态结构分析、代码质量度量等。它可以由人工进行,充分发挥人的逻辑思维优势,也可以借助软件工具自动进行。代码检查代码检查包括代码走查、桌面检查、代码审查等,主要检查代码和设计的一致性,代码对标准的遵循、可读性,代码的逻辑表达的正确性,代码结构的合理性等方面;可以发现违背程序编写标准的问题,程序中不安全、不明确和模糊的部分,找出程序中不可移植部分、违背程序编程风格的问题,包括变量检查、命名和类型审查、程序逻辑审查、程序语法检查和程序结构检查等内容。”。
我看了一系列的静态代码扫描或者叫静态代码分析工具后,总结对工具的看法:静态代码扫描工具,和编译器的某些功能其实是很相似的,他们也需要词法分析,语法分析,语意分析...但和编译器不一样的是他们可以自定义各种各样的复杂的规则去对代码进行分析。
以下将会列出的静态代码扫描工具,会由于实现方法,算法,分析的层次不同,功能上会差异很大。有的可以做SQL注入的检查,有的则不能(当然,由于时间问题还没有对规则进行研究,但要检查复杂的代码安全漏洞,是需要更高深分析算法的,所以有的东西应该不是设置规则库就可以检查到的,但在安全方面的检查,一定程度上也是可以通过设置规则进行检查的)。
.NET
- .NET Compiler Platform(代号罗斯林) -开源编译器框架,C#和Visual Basic .NET中开发的微软 .NET。提供用于分析和操作语法的API。
- CodeIt.Right -结合静态代码分析和自动重构最佳实践,它允许代码中的错误和违规行为自动修正; 支持C#和VB.NET。
- 的CodeRush -一个插件的Visual Studio它提醒用户侵犯最佳做法。
- 的FxCop -免费静态分析微软.NET程序编译为CIL。独立和集成在一些微软的Visual Studio版本; 微软。
- NDepend的 -简化了管理,通过分析和可视化代码的依赖关系,通过定义设计规则,这样做影响分析复杂的.NET代码库,并通过比较不同版本的代码。集成到Visual Studio中。
- Parasoft dotTEST -静态分析,单元测试和代码审查的插件为Visual Studio的 ; 适用于语言的Microsoft .NET Framework和.NET Compact Framework,包括C#,VB.NET,ASP.NET和托管C ++。
- 了StyleCop -分析C#源代码来执行一组风格和一致性规则。它可以从内部运行的Microsoft Visual Studio中或整合到MSBuild的项目。
Ç,C ++
- Astrée -查找所有可能的运行时错误由抽象解释,可以证明不存在运行时错误,并能证明功能的断言; 针对对安全至关重要的C代码(例如航空电子设备)。
- BLAST - (伯克利懒惰抽象软件验证工具) -对C程序的基础上慵懒抽象的开源软件模型检测(后续项目CPAchecker。[5])。
- Cppcheck -开源的工具来检查几种类型的错误,包括使用STL。
- cpplint -一个开源的工具,它检查是否符合谷歌的风格指南对C ++编码。
- Clang -一个开放源代码编译器,它包括一个静态分析器它包括一个静态分析器。
- Coccinelle的 -一个开源的源代码模式匹配和改造。
- Cppdepend -简化了管理,通过分析和可视化代码的依赖关系,通过定义设计规则,这样做影响分析,并比较不同版本的代码的复杂的C / C ++代码库。
- ECLAIR -对于自动分析,验证,C和C ++程序的测试和转化的平台。
- Eclipse(软件) -一种开放源码的IDE,包括静态代码分析仪(CODAN)。
- Fluctuat - 抽象解释的程序数值属性的验证。
- Frama-C -一个开源的静态分析框架C.
- Goanna -软件分析工具,用于C / C ++。
- Klocwork的静态代码分析 -静态分析工具,用于C / C ++。
- Lint -原来的静态代码分析仪C.
- LDRA Testbed -软件分析与测试工具套件的C / C ++。
- Parasoft C / C ++test - C / C ++工具,它的静态分析,单元测试,代码审查,并且运行时错误检测; 可用于插件的Visual Studio和Eclipse的基础的集成开发环境。
- PC-Lint -软件分析工具,用于C / C ++。
- Polyspace -使用抽象解释检测和证明不存在的运行时间错误,在死代码的源代码以及用于检查所有MISRA(2004,2012),规则(指令,非指令)。
- PVS-Studio -软件分析工具,用于C,C ++,C ++ 11,C ++ / CX(组件扩展)。
- PRQA QA·C与QA·C ++ -的C / C ++质量保证和方针/编码标准执法与MISRA支持深度静态分析。
- SLAM project -一期工程微软研究院检查它使用的接口软件满足的关键行为属性。
- Sparse -一个开源工具,旨在发现故障的Linux内核。
- Splint -一个开源的进化版皮棉,为C.
- ...
Java
- Checkstyle -除了一些静态代码分析,它可以用来显示侵犯一个配置编码标准。
- FindBugs -一个开源的静态分析字节码的Java(基于雅加达 BCEL马里兰大学)。
- IntelliJ IDEA -跨平台的Java IDE,具有自己的一套几百代码检查可在即时在整个项目的编辑和批量分析分析代码。
- JArchitect -简化了分析和可视化代码的依赖关系,通过定义设计规则,这样做影响分析,并通过比较不同版本的代码管理复杂的Java代码库。
- Jtest -测试和静态代码分析产品通过Parasoft的。
- LDRA Testbed -软件分析与测试工具套件的Java。
- PMD -静态规则集基于Java源代码分析器,能够识别潜在问题。
- SemmleCode -面向对象的代码查询静态程序分析。
- Sonargraph(原SonarJ) -代码为目的的架构显示器的一致性,也计算了广泛的软件度量。
- Soot -一个语言处理和优化框架由中间语言的Java。
- Squale -管理软件质量的平台(也可用于其他语言,使用商业分析工具虽然)。
- SonarQube -对代码质量的持续检查的开源平台。
- SourceQube -一个独立于平台的命令行静态源代码分析器用于Java,C / C ++,RPG IV(AS / 400)和Python。
- ThreadSafe -一个静态分析工具,用于Java的重点是寻找并发错误。
- ...
JavaScript
- Google's Closure Compiler -的JavaScript优化器重写代码,以更快,更小,并检查使用本地JavaScript功能。
- JSLint -的JavaScript 语法检查和验证。
- JSHint - JSLint的的社区驱动的叉。
Objective-C, Objective-C++
- Clang -免费锵项目包括静态分析。作为版本3.2,该分析仪包括在Xcode中 。[6]
Perl
- Perl::Critic -一个工具来帮助实施通用Perl的最佳实践。大多数的最佳做法是基于达米安康威的Perl的最佳实践的书。
- PerlTidy -程序作为一个语法检查和测试仪/实施者在Perl的编码实践。
- Padre- Perl的一个IDE,它也提供了静态代码分析检查常见的初学者的错误。
Python的[ 编辑]
以下我在网上搜集到的分析工具,我整理了以下挑了一些出来,这里只是一部分,另外一些可以到参考链接上看一下:
工具名 | 静态扫描语言 | 开源/付费 | 厂商 | 介绍 | 主页网址 |
ounec5.0 |
VB.Net、C、C++和C#, 还支持Java。 |
付 费 | Ounce Labs | \ | http://www.ouncelabs.com/ |
Coverity Prevent | C/C++,C#,JAVA | 付费 | Coverity |
还有其他辅助工具: 1.Coverity Thread Analyzer for Java 2.Coverity Software Readiness Manager for Java 3.Coverity Architecture Analyzer |
http://www.coverity.com/index.html |
@stake SmartRisk™ Analyzer |
C/C++,Java | 付费 |
Symantec Corporation |
@stake SmartRisk™ Analyzer harnesses the power of static analysis of binary executables (C, C++, and Java) to identify, categorize and prioritize security。 注:在Symantec没有搜到此产品?! |
http://www.symantec.com/business/index.jsp |
Rational Purify | C/C++,Java | 付费 | IBM |
Provides memory leak and memory corruption detection for Windows,Runtime?! |
http://www-01.ibm.com/software/awdtools/purify/ |
PREfix | \ | \ | microsoft |
微软用的静态分析工具,但暂时没有找到下载, 现在好像在考虑发布中! |
\ |
Jtext | Java | 付费 | parasoft |
同时还有其他静态分析代码的产品,如:C++Test... 详细请查询官网 |
http://www.parasoft.com/jsp/cn/support.jsp |
flawfinder | C/C++ | 开源 | \ |
用Python编写的c、c++程序安全审核工具, 可以检查潜在的安全风险。 |
http://www.dwheeler.com/flawfinder/ |
Static Code Analyzer |
C/C++,C#,JAVA | 付费 | Fortify | \ | http://www.fortify.com/ |
Klocwork Insight | C/C++ ,Java | 付费 | Klocwork | \ | http://www.klocwork.com/products/insight.asp |
PolySpace Client/Server |
C/C++、Ada语言 | 付费 | MathWorks | \ | http://www.mathworks.cn/ |
rats |
C/C++, Python, Perl, PHP代码进行安全审核的工具 |
开源 | \ | \ | http://www.fortify.com/security-resources/rats.jsp |
LAPSE | Java | 开源 | \ |
LAPSE stands for a Lightweight Analysis for Program Security in Eclipse. LAPSE is designed to help with the task of auditing Java J2EE applications for common types of security vulnerabilities found in Web applications. LAPSE was developed by Benjamin Livshits as part of the Griffin Software Security Project. |
http://www.owasp.org/index.php/Category:OWASP_LAPSE_Project |
Fluid | java | 开源 | \ |
We have explored properties including:
* race conditions and locking policies, |
http://www.fluid.cs.cmu.edu:8080/Fluid |
Splint | C | 开源 |
University of Virginia, Department of Computer Science |
静态检测针对C语言的安全工具和漏洞检测。 | http://www.splint.org/ |
cqual | C/C++ | 开源 | 马里兰大学 | 轻量级的静态扫描器,在类Linux系统下运行。 | http://www.cs.umd.edu/~jfoster/cqual/ |
MOPS | C | 开源 | berkeley大学 |
MOPS is a tool for finding security bugs in C programs and for verifying conformance to rules of defensive programming |
http://www.cs.berkeley.edu/~daw/mops/ |
BOON | C | 开源 | berkeley大学 |
BOON is a tool for automatically finding buffer overrun vulnerabilities in C source code. Buffer overruns are one of the most common types of security holes, and we hope that BOON will enable software developers and code auditors to improve the quality of security-critical programs. |
http://www.cs.berkeley.edu/~daw/boon/ |
BLAST | C | 开源 |
The BLAST 2.0 Team |
BLAST is a software model checker for C programs. The goal of BLAST is to be able to check that software satisfies behavioral properties of the interfaces it uses. BLAST uses counterexample-driven automatic abstraction refinement to construct an abstract model which is model checked for safety properties. The abstraction is constructed on-the-fly, and only to the required precision. |
http://mtc.epfl.ch/software-tools/blast/ |
SpikeWAMP | Php | 开源 | \ | for analyzing PHP programs | http://developer.spikesource.com/wiki/index.php/SpikeWAMP |
Pixy | Php | 开源 | \ | Finding XSS and SQLI vulnerabilities | http://pixybox.seclab.tuwien.ac.at/pixy/ |
Mike | Java | 开源 | \ |
Java source code security scanner built on top of Orizon. They are connected to OWASP. |
http://milk.sourceforge.net/download.html |
Smatch | C | 开源 | \ | \ | http://smatch.sourceforge.net/ |
Oink | C++ | 开源 | \ | C++ Static Analysis Tools | http://www.cubewano.org/oink |
Frama-C | C | 开源 | \ | static analyzers for the C language. | http://frama-c.cea.fr/ |
RTL-check | \ | 开源 | \ |
RTL-check is an extensible and powerful abstract interpretation framework for static analysis of programs from a safety and security perspective |
http://rtlcheck.sourceforge.net/ |
PMD | Java | 开源 | \ |
PMD scans Java source code and looks for potential problems like:
* Possible bugs - empty try/catch/finally/ |
http://pmd.sourceforge.net/ |
FindBugs | Java | 开源 | 马里兰大学 |
uses static analysis to look for bugs in Java code. 注意:提供Eclipse插件。 |
http://findbugs.sourceforge.net/ |
ITS4 | C\C++ | 开源 | \ |
Cigital developed ITS4 to help automate source code review for security. |
http://www.cigital.com/its4/ |
QJ-Pro | Java | 开源 | \ |
QJ-Pro is a comprehensive software inspection tool targeted towards the software developer. QJ-Pro checks: |
http://qjpro.sourceforge.net/ |
Jint | Java | 开源 | \ |
Jlint will check your Java code and find bugs, inconsistencies and synchronization problems by doing data flow analysis and building the lock graph. |
http://artho.com/jlint/ |
Hammurapi | Java | 开源 | \ |
code review system captures coding best practices and delivers them to developers' fingertips. It also generates consolidated reports for lead developers, architects, and managers to monitor codebase quality and evolution. |
http://www.hammurapi.biz/hammurapi-biz/ef/xmenu/hammurapi-group/index.html |
DoctorJ | Java | 开源 | \ |
Among what it detects:
* misspelled words |
http://www.incava.org/projects/java/doctorj/index.html |
Dependency Finder | Java | 开源 | \ |
Dependency Finder is a suite of tools for analyzing compiled Java code. At the core is a powerful dependency analysis application that extracts dependency graphs and mines them for useful information. This application comes in many forms for your ease of use, including command-line tools, a Swing-based application, a web application ready to be deployed in an application server, and a set of Ant tasks. |
http://depfind.sourceforge.net/ |
Checkstyle | Java | 开源 | \ |
Checkstyle is a development tool to help programmers write Java code that adheres to a coding standard. It automates the process of checking Java code to spare humans of this boring (but important) task. This makes it ideal for projects that want to enforce a coding standard. 注意:提供多种IDE的插件。 |
http://checkstyle.sourceforge.net/ |
Classycle | Java | 开源 | \ |
Classycle's Analyser analyses the static class and package dependencies in Java applications or libraries. |
http://classycle.sourceforge.net/ |
JDepend | Java | 开源 | \ |
JDepend traverses Java class file directories and generates design quality metrics for each Java package. JDepend allows you to automatically measure the quality of a design in terms of its extensibility, reusability, and maintainability to manage package dependencies effectively. |
http://www.clarkware.com/software/JDepend.html |
JCSC | Java | 开源 | \ |
JCSC is a powerful tool to check source code against a highly definable coding standard and potential bad code. |
http://jcsc.sourceforge.net/ |
......
以下是直接提供代码检查/相关帮助的厂商:
Fortify:
http://www.fortify.com/
ASPECT:
http://www.aspectsecurity.com/
OWASP:
http://www.owasp.org/index.php/Main_Page
securitycompass:
http://www.securitycompass.com/resources.shtml
参考资料:
1. http://www.dwheeler.com/flawfinder/
2. http://www.java2s.com/Product/Java/Byte-Source-Code/Source-Analysis-Diagram.htm
3. http://www.softwarelist.cn/?fsid=53&cid=530&cpath=ABAN
4. http://www.hacker.com.cn/article/view_14804.html
5. http://www.cs.cmu.edu/~aldrich/courses/654/tools/
注:以上链接列举了大量相关工具
Source URL: http://www.pin5i.com/showtopic-22624.html
静态代码分析工具汇总相关推荐
- 软文推荐:常用 Java 静态代码分析工具的分析与比较
http://www.uml.org.cn/j2ee/201107114.asp 常用 Java 静态代码分析工具的分析与比较 作者:赵卓 , 发布于2011-07-11 , IBM 简介: 本文首先 ...
- PVS-Studio C/C++/C++11 静态代码分析工具
PVS-Studio C/C++/C++11 静态代码分析工具 静态代码分析仪是一种检测代码缺陷.分析对比 商业代码的工具,它分析源代码和它生成的目标 文件,但并不实际运行源代码.应用于对安全性. 稳 ...
- 2021.C/C++静态代码分析工具
静态代码分析工具 1 cppcheck 静态代码分析工具 1 cppcheck 静态代码分析工具 参考博客 使用cppcheck检测代码警告.错误 ubuntu下安装cppcheck sudo apt ...
- OOM分析(1) Android 源,如何分析android的OOM,与java静态代码分析工具
用MAT分析OOM 很多OOM看似发生在bitmap 分配得时候,但它一般不是rootcause.根本原因都在于本应该自动释放的资源,因为代码的错误,而导致某些对象一直被引用(Reference),例 ...
- 如何分析android的OOM,与java静态代码分析工具
2019独角兽企业重金招聘Python工程师标准>>> 用MAT分析OOM 很多OOM看似发生在bitmap 分配得时候,但它一般不是rootcause.根本原因都在于本应该自动释放 ...
- 静态代码分析工具列表分析---代码分析工具列表(30款工具)
本文是一个静态代码分析工具的清单,共有30个工具.包括4个.NET工具.2个Ada工具.7个C++工具.4个Java工具.2个JavaScript工具.1个Opa工具.2个Packaging工具.3个 ...
- 静态代码分析工具清单:开源篇(各语言)
本文是一个静态代码分析工具的清单,共有26个工具.包括4个.NET工具.2个Ada工具.7个C++工具.4个Java工具.2个JavaScript工具.1个Opa工具.2个Packaging工具.3个 ...
- 静态代码分析工具清单:开源篇
http://hao.jobbole.com/static_code_analysis_tool_list_opensource_lang/?utm_source=blog.jobbole.com&a ...
- 静态代码分析工具列表--常用静态代码分析工具介绍
代码检测简介 本文是一个静态代码分析工具的清单,但是为公司产品需要付费使用.共有37个公司,有些公司包含多个工具.其中27个公司有多语言 工具,1个公司为PHP工具.2个公司为.NET工具.1个公司为 ...
最新文章
- excel冻结窗口怎么设置_IE浏览器弹出窗口怎么设置
- 对称加密-DES解密
- MySQL实现差集(Minus)和交集(Intersect)
- 如何找到在SAP社区上经过SAP官方认可比较有影响力的SAP从业者
- 7款免费原型设计工具
- 大神云集!2019年谷歌博士奖学金获得者重磅问世,清华、上交大、港中文入选最多!...
- Linux 用户组权限讲解
- 接口,实现类,对象方法的调用关系.(查看程序输出)
- Flutter功能 如何给row或column布局添加手势监听?【教你一步搞定】
- mysql web聊天_多嘴WEB聊天室基于PHP+MYSQL的中文聊天室
- Tomcat下快逸报表中文乱码问题怎么解决
- android平板+a1usb驱动程序,手机USB万能驱动
- 目标检测网络 -- FasterRCNN
- 常见的数值积分方法 (欧拉、中值、龙格-库塔,【常用于IMU中】)
- win7查看远程连接了计算机名,win7怎么查看远程连接信息 win7远程连接设置教程...
- C语言LMS双麦克风消噪算法,基于两个时域LMS算法双麦克风系统分析.doc
- 微信小程序的安全登录
- 把书塞进一个App!应用之星,一键制作属于自己的书架App
- 玩转华为数据中心交换机系列 | 配置MAC地址漂移检测示例
- 误将桌面的计算机图标删除,如何恢复误删除的"桌面图标"
热门文章
- l7sa008b故障代码_奥克斯空调故障代码大全
- Angular 9.1.0在项目路径包含软链接时编译某些包时报错,9.1.1已修正
- WPF程序员开发案例
- 原 Java课前总结与课后习题原 Java课前总结与课后习题
- VMware 收费太贵? 试试这款更轻量级的虚拟机, 完全免费!
- XXL-Job分布式任务调度框架-- 介绍和调度中心的搭建启动1
- 分享一些超级有逼格的前端代码
- python数据挖掘领域工具包 - wentingtu - 博客园
- 北京 2019年互联网校招薪水
- 多多评价怎么显示第一个_拼多多商品质量分哪里看?怎么看评分?