1. OWASP – 21.03.2012, Kraków
I WANT TO
BELIEVE
IN
STATIC ANALYSIS
Mateusz Kocielski
m.kocielski@logicaltrust.net

2. # whoami?

4. DYSKUSJA ZAMIAST
WYKRESÓW!

5. A NA
Z Z
I
L C
A Y
N T
A TA
S

6. THE GOOD

7. ANALIZA STATYCZNA
● Metoda analizy statycznych
obiektów mająca na celu
wnioskowanie nt. ich własności
● Możemy analizować kod
źródłowy, binaria, wszystko co
się nie rusza.

8. Po co?
● Żeby wykryć błędy w naszym kodzie (XSS,
buffer overflow, ...)
● Żeby wykryć niedoróbki w naszym kodzie
(dead code, redundancja, …)
● Żeby poprawić jakość projektu (patrz
wyżej)
● Żeby uzyskać metryki (np. złożoność kodu)

9. Narzędzia
● KlocWork (C/C++/Java)
● Fortify (Java...)
● Coverity (C/C++)
● FindBugs (Java)
● Splint (C)
● Clang (C)
● RIPS (PHP)
● PIXY (PHP)

10. Przykład

11. Co nas interesuje?
● XSS
● SQL injection
● Code execution
● CSRF
● …
● Jak wykrywa się powyższe błędy
„automatami”?

12. Tendencyjny przykład!
DEMO

13. Jak używać?
● Integracja ze środowiskiem developerskim
● Wspomagając proces przeglądu kodu
● Na koniec projektu (czy jesteśmy skazani wtedy na
porażkę?)
● Jakich wyników powinniśmy się spodziewać?

14. THE BAD

15. Statyczna analiza jest
skomplikowana
● Bardzo trudna w przypadku języków
statycznych (C, C++, JAVA...)
● EKSTREMALNIE trudna w przypadku
języków dynamicznych (PHP,
Python)
● Skąd bierze się trudność analizy?
● Jak wnioskować nt. kodu?
● Jak być pewnym wniosków?
● Czy false positives to duży kompromis?

16. Problemy nierozstrzygalne
Jeżeli potrafimy wywnioskować coś nietrywialnego o
kodzie (np. obecność SQL injection), to potrafimy
rozwiązać problem stopu !
ALAN TURING

17. Co możemy zrobić?
KOMPROMIS:
Musimy się zgodzić na niedoskonałość analizy.
Gdzie kończy się nasza cierpliwość?

18. WTF? - false positives!
● Możemy dostrajać naszą analizę
(np. klocwork, splint, …)
● czułość, zakres, …
● Możemy o niej myśleć programując
● ograniczanie się do podzbiorów języka
● dekorowanie kodu
● Możemy przestać z niej korzystać... albo...
● Możemy nauczyć się z nią żyć ...

19. SOA#1

20. THE UGLY?

21. THE UGLY!

22. PHP
● Czy jest na sali ktoś, kto nie słyszał o PHP?
● Bardzo popularny, dynamiczny język o
dziwnych właściwościach!
● Korzystają z niego giganci (NK, facebook, ...)

23. QUIZ - EASY
var_dump(0 == "php");
var_dump(NULL == array());
var_dump(array() == 0);

24. QUIZ - EASY
var_dump(0 == "php") = T
var_dump(NULL == array()) = T
var_dump(array() == 0) = F

25. QUIZ - HARDCORE++
var_dump(false == array());
var_dump(false == ””);
var_dump(array() == ””);

26. QUIZ – HARDCORE++ -
PODPOWIEDŹ
var_dump(false == array())=T
var_dump(false == ””)=T
var_dump(array() == ””)=?

27. QUIZ – HARDCORE++ -
PODPOWIEDŹ (2)
var_dump(false == array())=T
var_dump(false == ””)=T
var_dump(array() == ””)=?
X = Y i Y = Z to X = Z

28. var_dump(array() == ””)=F

29. RIPS

30. PIXY
http://pixybox.seclab.tuwien.ac.at/pixy/

31. Q&A