Cppcheck的使用与VSCODE 插件

下载与安装

直接查看官网，Windows可以直接下载安装包，linux有相应的包管理器直接安装，比如ubuntu/debian的sudo apt-get install cppcheck

https://cppcheck.sourceforge.io/

注意：要审核的代码需要放在全英目录，不能有英文

实战

首先以单一文件为例https://github.com/hardik05/Damn_Vulnerable_C_Program/blob/master/dvcp.c

这是一个专门写的有很多漏洞的文件，默认选项，结果只发现了一个未初始化的数组

PS D:\cppcheck_test> cppcheck.exe .
Checking dvcp.c ...
dvcp.c:90:16: error: Uninitialized variable: buff3 [legacyUninitvar]
   char OOBR = buff3[size3];
               ^
               ^

接下来，启用所有规则，并允许误报，也还是只有这个error，多了一些风格、信息方面的输出

不过这个源码是给afl来fuzz的，里面有整数溢出漏洞，堆溢出，double free，use after free，除0错误，数组越界读写，还有堆耗尽，栈耗尽等漏洞

VSCODE 插件——Cppcheck Plug-in

插件直接在商店安装即可

首先需要将cppcheck的安装路径添加到PATH环境变量即可在文件或者文件夹右键使用