二進(jìn)制SCA檢測(cè)工具---技術(shù)短板及應(yīng)對(duì)措施

世間萬(wàn)物都不可能是十全十美的，二進(jìn)制SCA檢測(cè)技術(shù)也逃不過(guò)此宿命，它既有它的 長(zhǎng)處 ，能解決其他技術(shù)不能或很難解決的問(wèn)題和場(chǎng)景，同時(shí)它自身技術(shù)短板也面臨著一些無(wú)法或很難解決的場(chǎng)景。

我們知道 二進(jìn)制文件在產(chǎn)品包中的類型與形態(tài)是非常復(fù)雜的 ，不同語(yǔ)言的二進(jìn)制文件有各自不同的特點(diǎn)，同時(shí)不同開發(fā)人員進(jìn)行軟件設(shè)計(jì)、開發(fā)、編譯、打包的方式和場(chǎng)景更是千差萬(wàn)別，以產(chǎn)品引用開源軟件的方式為例就存在以下場(chǎng)景：patch打補(bǔ)丁版本號(hào)不變、產(chǎn)品引用開源軟件部分功能場(chǎng)景下的部分編譯、自研代碼基于開源軟件源碼的侵入式修改，以及不同開源軟件的被動(dòng)依賴等等場(chǎng)景，在這些復(fù)雜的場(chǎng)景下二進(jìn)制SCA工具 檢測(cè)能力和檢測(cè)結(jié)果正確性會(huì)受到極大的挑戰(zhàn)和影響 。

解決或緩解這些影響的思路無(wú)非就兩種：外部解決和 內(nèi)部解決 。從外部解決的方法是盡可能的減少或避免出現(xiàn)二進(jìn)制SCA短板場(chǎng)景，從軟件的 設(shè)計(jì) 、 開發(fā)編譯 、打包部署等在不同階段進(jìn)行 優(yōu)化和規(guī)范，摒棄不合理的做法 ，盡量避免出現(xiàn)二進(jìn)制SCA工具的短板場(chǎng)景；另外一個(gè)是測(cè)試工具及 測(cè)試方法的優(yōu)化 ，把二進(jìn)制SCA工具用來(lái)做它擅長(zhǎng)的事， 避免出現(xiàn)用大炮打蚊子的事情 。從內(nèi)部解決的方法則是優(yōu)化工具的能力和算法，盡可能來(lái)提升工具的適用場(chǎng)景，減少短板場(chǎng)景。

下面針對(duì)二進(jìn)制SCA工具的技術(shù)短板面臨的特殊場(chǎng)景的特點(diǎn)、檢測(cè)影響和應(yīng)對(duì)措施進(jìn)行詳細(xì)描述：

解包特殊場(chǎng)景 ：被測(cè)軟件包采用了自定義的打包算法或加密過(guò)的壓縮包

解包影響 ：解包工具無(wú)法正確的進(jìn)行解包，會(huì)導(dǎo)致檢測(cè)結(jié)果遺漏；

應(yīng)對(duì)措施 ：測(cè)試人員可以先用專用工具進(jìn)行解包，再用tar、zip等工具對(duì)解包后的目錄重新打包，上傳新包進(jìn)行檢測(cè)即可。

不同語(yǔ)言特殊場(chǎng)景詳解 ：

審核編輯 黃昊宇