[发明专利]一种基于测试的静态分析误报消除方法

摘要

本发明给出一种基于测试的静态分析误报消除方法，能够增强软件静态分析技术的可用性，降低人工确认和检查静态分析报告的时间和人力成本。利用测试技术来在运行时收集程序信息，与静态分析报告中涉及的目标路径和目标缺陷相互印证，确认缺陷或消除误报。本发明首先读取以基于可扩展标记语言的元数据交换格式保存的静态分析报告文件，从中解析出目标缺陷的信息；对每一条特定缺陷的静态分析警报，采用混合执行的思想对程序进行持续的具体执行、符号执行以及约束求解，在这一过程中根据不同缺陷的特征建模，收集运行时信息；使用上一步获取的运行时信息确认是否发生该缺陷，或判断该静态分析警报是一个误报；迭代直到所有静态分析警报被处理完毕。

主权项

一种基于测试的静态分析误报消除方法，其特征在于该方法所包含的步骤为： 步骤1）从磁盘文件读取以基于可扩展标记语言的元数据交换格式保存的静态分析报告文件， 步骤2）分别从静态分析报告中解析出静态分析警报信息，包括疑似缺陷路径和特定缺陷发生点，形成待验证警报列表， 步骤3）采用程序插桩技术在程序源代码中插入标记语句，程序插桩插入的程序语句与原程序同步编译、链接为可执行程序；所述程序插桩或者插桩是在保证被测程序原有逻辑完整性的基础上在程序中插入额外的标记语句，称为探针，通过探针的执行并抛出程序运行的特征数据，通过对这些数据的分析，获得程序的控制流和数据流信息，得到逻辑覆盖等动态信息，实现测试， 步骤4）以在程序源代码中插入的静态分析警报的路径片段为目标，在控制流图上计算程序中每一个分支在执行时是否可能到达标记路径片段，所述控制流图是一个有向图，程序源代码中的每个语句对应图中的一个节点，图中节点之间的路径表示程序代码之间的控制关系， 步骤5）利用混合执行测试方法生成测试用例，在运行时验证静态分析警报是否是误报，所述混合执行测试方法是符号执行和具体执行结合的测试方法；符号执行指的是使用符号变量代替具体变量，不执行程序的前提下模拟程序执行来进行相关测试分析的技术，与约束满足问题求解方法一同使用；具体执行就是指使用具体的变量值输入到程序中，驱动程序的正常执行进行测试；混合执行是一种对程序交替进行具体执行和符号执行的混合软件程序测试技术， 步骤6）根据测试执行中每一覆盖到目标路径片段时记录的结果集合，判断特定缺陷的静态分析警报是否是一个得到确认的缺陷，如果不是，认为其是误报，报告上述确认/误报消除结果， 步骤7）对于测试执行始终无法覆盖执行到的静态分析警报，将其归为一类无法确定的警报，并提醒开发者或测试人员人工处理。