c++ - Cppcheck 静态代码分析器能否真正检测到不太常见的警告，如 "Relative Path Traversal (CWE-23)"或 "Buffer Under-read(CWE-127)"？

Question

我正在研究 Juliet Test Suite为了我的研究，我正在对这些代码应用一些静态分析器来生成警告。运行cppcheck 后，我发现它无法检测到manifest.xml 文件(元数据)中提到的许多错误。是我没有正确运行这个软件，还是 cppcheck 无法检测到这些警告/错误？你以前遇到过他们吗？

到目前为止，我一直在 Juliet 测试套件上使用 cppchecker。我将在其上使用 Clang、Veracode 和 Flawfinder，因为我第一次尝试失败了。

这是我使用的命令。

cppcheck --enable=all -q --xml -I testcasesupport/ testcases/ 2>out.xml

在给定的元数据 manifest.xml 文件中，一些示例错误是 -

<?xml version="1.0" encoding="utf-8"?>
<container>
   <testcase>
     <file path="CWE127_Buffer_Underread__CWE839_connect_socket_01.c">
       <flaw line="111" name="CWE-127: Buffer Under-read"/>
     </file>
   </testcase>
   <testcase>
     <file path="CWE114_Process_Control__w32_char_connect_socket_03.c">
       <flaw line="124" name="CWE-114: Process Control"/>
     </file>
   </testcase>
   .
   .
   .
</container>

但由 cppchecker 生成的我的 output.xml 文件没有这些错误中的大部分。 output.xml 文件中的大多数错误属于“CWE-398”错误，这是一种样式错误。但 cppcheck 可以检测常见错误，如“数组越界”或类似错误。

是不是 cppcheck 没有涵盖 Juliet 测试套件的这些不常见错误？如果是，那么可以通过什么其他静态分析器正确检测到它们？

Answer 1

我是 Cppcheck 开发人员。

Am I failing to run this software properly or cppcheck just can't detect these warnings/ errors? Have you faced them before?

要了解 Cppcheck 可以检测到哪些 CWE，您可以使用此命令:

./cppcheck --errorlist

在输出中查找“cwe”。

Is it that cppcheck doesn't cover these uncommon errors of Juliet Test Suite? If it is, what could be some other Static Analyzer that could detect them properly?

我不记得 Juliet 测试套件涵盖了哪些 CWE，但 Cppcheck 并未涵盖所有 CWE。而且我认为没有任何工具可以涵盖所有 CWE。

cppcheck is fairly simplistic and far from perfect.

我同意。我相信 KISS 原则。 Cppcheck 远非完美。

But try out clang-tidy and the various sanitizers (asan, tsan, ubsan etc) in addition to cppcheck.

我同意。最佳做法是使用多种工具。即使您使用最昂贵的工具(例如 NASA 使用各种昂贵的工具以及 Cppcheck，因为 Cppcheck 检测到一些未检测到的问题，反之亦然)，这也是最佳实践。

I am working on Juliet Test Suite for my research

在我看来，Juliet 测试套件制作不精良。该代码很奇怪且不切实际。您的结论将仅具有学术意义。在真实代码上运行工具。

我建议你扫描一些重要的开源项目。 Cppcheck 可以在 Debian 中发现成千上万的错误(未定义的行为)，并且该软件安装在数百万台计算机上。最新稳定版 linux 的状态不是很好。 :-(