针对传统的源代码审计工具的缺点,提出了动静结合的程序分析技术,采用先进的符号执行,逆执行,染色分析,Patch分析,深度学习等技术精确的发现源代码漏洞。
通过自动化工具或者 人工审查的方式,对程序源代码逐条进行检查和分析,发现这些源代码缺陷引发 的安全漏洞,并提供代码修订措施和建议。
使用SonarQube可以更好地管理源代码的质量。同时 SonarQube 还对大量的持续集成工具提供了接口支持,可以很方便地在持续集成中使用 SonarQube。此外, SonarQube 的插件还可以对 Java 以外的其他编程语言提供支持,对国际化以及报告文档化也有良好的支持。
用户可以及时发现企业内部代码泄露,从而降低由于代码泄露导致的一系列安全风险。用户仅需通过简单的任务配置,即可在分钟级发现代码泄露的情况。
Patch分析技术与程序语言依赖较强,通过词法和语法分析,将与补丁相似的上下文在源代码中找到。
深度学习技术不依赖于程序语言。通过对源代码的抽象,采用表达式表达程序,并且学习同一类型漏洞构建分类器,利用分类器对漏洞进行判断。
符号执行技术是生成输入集合,在给定的时间内探索所有的路径。
逆执行是从被标记为非法的操作开始,由执行路径记录的指令从后往前执行,找到漏洞点。
统计缺陷检测,依赖检测,Sonar统计和Github统计
缺陷数量统计、按高危等级排列、总数排列等图表
深入文件,查看每个文件的缺陷详情,列出概况,解释说明和修复建议等
单个项目的统计结果
包含项目中的依赖和本地上传的依赖
该版本是将sonar平台的页面集成在本地系统
列出扫描出来的30条结果
只需完成账户认证,即可免费体验源码审计平台等安全产品