Как определить программное обеспечение, инструменты, компоненты и пакеты, используемые на веб-сайте, используя всю кодовую базу?

Question

Я пытаюсь разработать инструмент аудита программного обеспечения.

Можно ли обнаружить программные средства и пакеты, используемые в веб-приложении, путем сканирования всех файлов этого приложения.

В настоящее время я должен выяснить всю информацию, связанную с лицензией, при сканировании всех файлов, но я не могу определить, какие все сторонние компоненты используются в приложении

Answer 1

Fortify - это не тот инструмент, который определяет, какое OSS (ПО с открытым исходным кодом) у вас есть в вашем коде. Есть и другие коммерческие инструменты, такие как Blackducksoftware от Synopsis или SourceClear (я не рекомендую какой-либо конкретный здесь, это примеры). Некоторые из этих инструментов ищут зависимости, а некоторые сканируют на наличие уязвимостей во всех ваших OSS.

Единственный способ взломать и включить Fortify для сканирования на наличие OSS может состоять в создании пользовательских правил для сканирования комментариев в коде и поиска строк авторских прав. Это может быть излишним, но я видел такие правила Fortify в прошлом.

Существуют также коммерческие инструменты для сканирования OSS непосредственно в двоичных файлах, которые вы компилируете.

Надеюсь, это поможет.