klocwork-11问题汇总

Klocwork 公司是软件静态分析领域技术和市场领先的厂商，全球拥有200 多个客户，其中许多是全球财富500 强中的公司。Klocwork 软件是Klocwork 公司基于专利技术分析引擎开发的，综合应用了多种近年来最先进的静态分析技术，是出色的软件静态分析软件

Klocwork可以说是静态扫描的经典工具，本文对klocwork做了深入的解析，对理解klocwork，静态分析的理解很有帮助

Klocwork 软件是 Rogue Wave 公司基于专利分析引擎技术开发的一款软件源代码缺陷和安全漏洞分 析工具。 Klocwork 综合应用了多种程序分析领域最先进的技术，是最为出色的以静态算法分析运行时缺 陷的软件。 Klocwork 产品具有很多突出的特征： Klocwork 支持多种常用的开发语言，能够分析 C、 C++、 C#和 Java 代码；能够发现的软件缺陷种类全面，既包括软件质量缺陷检测，安全漏洞检测，可维护性方 面的检测，还支持行业编码规范检查； 对软件质量进行评估，自动生成各种质量方面的统计报表； 能够 从不同纬度对软件进行各种度量；能够提供与多种主流开发 IDE 环境的集成；能够分析超大型软件（上 千万代码行）。

Klocwork 包括 Server Build 版本和 User Desktop 版本，可根据实际情况安装。安装可以 按照默认目录安装，也可以创建三个新的路径，如 C:\KW\8.1.2.10\server、C:\KW\8.1.2.10\pr 和 C:\KW\8.1.2.10\client，分别安装 Server 版，指定工程路径和 User 版，以方便命令行操作。

Klocwork 介绍 Klocwork - 源代码缺陷自动分析工具概述：Klocwork 软件是 Klocwork 公司基于专利技术分析引擎开发的，综合应用了多种近年来 最先进的静态分析技术，是出色的软件静态分析软件。Klocwork 产品与其它同类产品相比， 具有很多突出的特征：Klocwork 支持的语言种类多，能够分析 C、C++和 Java 代码；能够发 现的软件缺陷种类全面，既包括软件质量缺陷，又包括安全漏洞方面的缺陷，还可以分析对软 件架构、编程规则的违反情况；软件分析功能全面，既能分析软件的缺陷，又能进行可视化的 架构分析、优化；能够分析软件的各种度量；能够提供与多种主流 IDE 开发环境的集成；能 够分析超大型软件（上千万代码行）。主要功能： 缺陷检测提供多角度的各种缺陷类型的分析。自动化的缺陷检测功能易于使用，定制灵活，具有图 形化的构建和报表管理图形界面，拥有业界领先的消息过滤器，极具柔性的配置，和强大的学 习调整知识库；Klocwork 能够分析 C/C++和 Java 代码，生成代码问题报告，能够发现的缺陷 类型举例。（详细参见附录）： C/C++缺陷类型样例 空指针释放 内存管理问题（如：内存泄漏） 数组越界 未初始化数据使用 编码风格问题（如：在条件中赋值） Java 缺陷类型样例 效率错误（如：空的 finalize 方法） 可维护性问题（如：空的 catch 从句） 可靠性问题(如资源泄漏) 安全漏洞检测Klocwork 确信软件安全性是软件质量中一个重要的、并越来越受重视的方面。同样的， 所有的 Klocwork 安全漏洞分析是基于市场领先的缺陷检测能力，从原来的缺陷检测分离出来 单独的安全漏洞检测和违反推荐的安全代码最佳实践的缺陷检测。 能够检测到的安全漏洞类型 举例（详细参见附录） C/C++安全漏洞分类 访问控制缺陷 缓冲区溢出 DNS 欺骗 忽略返回值 注入缺陷 不安全的存储 未经验证的用户输入 Java 安全漏洞分类 拒绝服务 注入缺陷（如：SQL 注入、进程注入等） 未经验证的输入 移动代码安全 有漏洞的会话管理 跨站点脚本 出错处理不当