Для получения триального ключа
заполните форму ниже
Team License (базовая версия)
Enterprise License (расширенная версия)
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Запросите информацию о ценах
Новая лицензия
Продление лицензии
--Выберите валюту--
USD
EUR
GBP
RUB
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Бесплатная лицензия PVS-Studio для специалистов Microsoft MVP
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Для получения лицензии для вашего открытого
проекта заполните, пожалуйста, эту форму
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Мне интересно попробовать плагин на:
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

Ваше сообщение отправлено.

Мы ответим вам на


Если вы так и не получили ответ, пожалуйста, проверьте папку
Spam/Junk и нажмите на письме кнопку "Не спам".
Так Вы не пропустите ответы от нашей команды.

>
>
>
Проверка открытого проекта WinSCP, разр…

Проверка открытого проекта WinSCP, разрабатываемого в Embarcadero C++ Builder

24 Апр 2014

Мы постоянно проверяем открытые проекты на языке Си/Си++. Но почти всегда, это проекты, разрабатываемые в Visual Studio. А вот Embarcadero C++ Builder мы как-то обделили вниманием. Нужно исправляться и сегодня мы проверили проект WinSCP.

Поддержка C++ Builder была прекращена в PVS-Studio после версии 5.20. По всем возникшим вопросам вы можете обратиться в нашу поддержку.

0252_WinSCP_ru/image1.png

WinSCP

WinSCP – свободный графический клиент протоколов SFTP и SCP, предназначенный для Windows. Распространяется по лицензии GNU GPL. Обеспечивает защищённое копирование файлов между компьютером и серверами, поддерживающими эти протоколы.

Официальный сайт: http://winscp.net

Для сборки проекта необходим Embarcadero C++ Builder XE2.

Проверка

Проверка осуществлялась с помощью анализатора PVS-Studio. На данный момент PVS-Studio поддерживает:

  • Visual Studio 2013 C, C++, C++11, C++/CX (WinRT)
  • Visual Studio 2012 C, C++, C++11, C++/CX (WinRT)
  • Visual Studio 2010 C, C++, C++0x
  • Visual Studio 2008 C, C++
  • Visual Studio 2005 C, C++
  • Embarcadero RAD Studio XE5 C, C++, C++11, 64-bit compiler included
  • Embarcadero RAD Studio XE4 C, C++, C++11, 64-bit compiler included
  • Embarcadero RAD Studio XE3 Update 1 C, C++, C++11, 64-bit compiler included
  • Embarcadero RAD Studio XE2 C, C++, C++0x
  • Embarcadero RAD Studio XE C, C++
  • Embarcadero RAD Studio 2010 C, C++
  • Embarcadero RAD Studio 2009 C, C++
  • MinGW C, C++, C++11

Плюс вы можете запустить PVS-Studio Standalone. Он позволяет проверять заранее подготовленные *.i файлы или отслеживать процесс сборки проекта и собирать всю необходимую для проверки информацию. Подробности можно узнать здесь: "PVS-Studio теперь поддерживает любую сборочную систему".

Результаты проверки

Ошибок нашлось не много, но достаточно, чтобы написать эту статью и привлечь внимание пользователей Embarcadero RAD Studio.

Перепутаны аргументы функции memset()

TForm * __fastcall TMessageForm::Create(....)
{
  ....
  LOGFONT AFont;
  ....   
  memset(&AFont, sizeof(AFont), 0);
  ....
}

Предупреждение PVS-Studio: V575 The 'memset' function processes '0' elements. Inspect the third argument. messagedlg.cpp 786

Функция memset() принимает размер массива в третьем аргументе. Простая, но неприятная опечатка. Структура остаётся неинициализированной.

Ниже в коде имеется ещё одна идентичная опечатка: messagedlg.cpp 796

Использование несуществующего объекта

void __fastcall TCustomScpExplorerForm::EditorAutoConfig()
{
  ....
  else
  {
    ....
    TEditorList EditorList;
    EditorList = *WinConfiguration->EditorList;
    EditorList.Insert(0, new TEditorPreferences(EditorData));
    WinConfiguration->EditorList = &EditorList;
  }
  ....
}

Предупреждение PVS-Studio: V506 Pointer to local variable 'EditorList' is stored outside the scope of this variable. Such a pointer will become invalid. customscpexplorer.cpp 2633

Объект 'EditorList' будет уничтожен сразу после выхода из области видимости. Однако, в программе сохраняют указатель на этот объект и затем используют. Это приводит к неопределённому поведению.

Мусор в диалоге

bool __fastcall RecursiveDeleteFile(....)
{
  SHFILEOPSTRUCT Data;
  memset(&Data, 0, sizeof(Data));
  ....
  Data.pTo = L"";
  ....
}

Предупреждение PVS-Studio: V540 Member 'pTo' should point to string terminated by two 0 characters. common.cpp 1659

Обратите внимание на следующую строку в описании параметра pTo в MSDN: "Note This string must be double-null terminated".

Из-за ошибки в диалоге для работы с файлом будет содержаться мусор. Или не будет. Всё зависит от везения. Но код в любом случае неправилен.

Продублированная строка

int CFileZillaApi::Init(....)
{
  ....
  m_pMainThread->m_hOwnerWnd=m_hOwnerWnd;
  m_pMainThread->m_hOwnerWnd=m_hOwnerWnd;
  ....
}

Предупреждение PVS-Studio: V519 The 'm_pMainThread->m_hOwnerWnd' variable is assigned values twice successively. Perhaps this is a mistake. Check lines: 88, 89. filezillaapi.cpp 89

Возможно, здесь нет никакой ошибки. Просто одна строка лишняя.

Неработающая проверка

STDMETHODIMP CShellExtClassFactory::CreateInstance(....)
{
  ....
  CShellExt* ShellExt = new CShellExt();
  if (NULL == ShellExt)
  {
    return E_OUTOFMEMORY;
  }
  ....
}

Предупреждение PVS-Studio: V668 There is no sense in testing the 'ShellExt' pointer against null, as the memory was allocated using the 'new' operator. The exception will be generated in the case of memory allocation error. dragext.cpp 554

Проверка "if (NULL == ShellExt)" не имеет смысла, так как если не удастся выделить память, то оператор 'new' сгенерирует исключение std::bad_alloc.

Опасный способ использования функции fprintf()

bool CAsyncSslSocketLayer::CreateSslCertificate(....)
{
  ....
  char buffer[1001];
  int len;
  while ((len = pBIO_read(bio, buffer, 1000)) > 0)
  {
    buffer[len] = 0;
    fprintf(file, buffer);
  }
  ....
}

V618 It's dangerous to call the 'fprintf' function in such a manner, as the line being passed could contain format specification. The example of the safe code: printf("%s", str); asyncsslsocketlayer.cpp 2247

Если при записи в файл, в буфере будут содержаться управляющие спецификаторы, то результат окажется непредсказуемым. Безопасный способ:

fprintf(file, "%s", buffer);

Вообще, эту ошибку можно считать потенциальной уязвимостью.

Что-то не так с переменной 'err'

static error_t
client_send_propfind_request(....)
{
  ....
  error_t err = 0;
  int code = 0;

  apr_hash_t * props = NULL;
  const char * target = path_uri_encode(remote_path, pool);
  char * url_path = apr_pstrdup(pool, target);

  WEBDAV_ERR(neon_get_props(&props, ras, url_path,
    NEON_DEPTH_ZERO, starting_props,
    false, pool));

  if (err && (err == WEBDAV_ERR_DAV_REQUEST_FAILED))
  ....
}

Предупреждение: V560 A part of conditional expression is always false: (err == 1003). webdavfilesystem.cpp 10990

Заключение

Где вы, программисты, использующие Embarcadero RAD Studio? Ау! Как показывает наша статистика, их почти нет. Приходите и попробуйте анализатор кода PVS-Studio!

Популярные статьи по теме
PVS-Studio ROI

Дата: 30 Янв 2019

Автор: Андрей Карпов

Время от времени нам задают вопрос, какую пользу в денежном эквиваленте получит компания от использования анализатора PVS-Studio. Мы решили оформить ответ в виде статьи и привести таблицы, которые по…
PVS-Studio для Java

Дата: 17 Янв 2019

Автор: Андрей Карпов

В седьмой версии статического анализатора PVS-Studio мы добавили поддержку языка Java. Пришло время немного рассказать, как мы начинали делать поддержку языка Java, что у нас получилось и какие дальн…
Главный вопрос программирования, рефакторинга и всего такого

Дата: 14 Апр 2016

Автор: Андрей Карпов

Вы угадали, ответ - "42". Здесь приводится 42 рекомендации по программированию, которые помогут избежать множества ошибок, сэкономить время и нервы. Автором рекомендаций выступает Андрей Карпов - тех…
Эффект последней строки

Дата: 31 Май 2014

Автор: Андрей Карпов

Я изучил множество ошибок, возникающих в результате копирования кода. И утверждаю, что чаще всего ошибки допускают в последнем фрагменте однотипного кода. Ранее я не встречал в книгах описания этого …
Характеристики анализатора PVS-Studio на примере EFL Core Libraries, 10-15% ложных срабатываний

Дата: 31 Июл 2017

Автор: Андрей Карпов

После большой статьи про проверку операционной системы Tizen мне было задано много вопросов о проценте ложных срабатываний и о плотности ошибок (сколько ошибок PVS-Studio выявляет на 1000 строк кода)…
Как и почему статические анализаторы борются с ложными срабатываниями

Дата: 20 Мар 2017

Автор: Андрей Карпов

В своей предыдущей статье я писал, что мне не нравится подход, при котором статические анализаторы кода оцениваются с помощью синтетических тестов. В статье приводился пример, воспринимаемый анализат…
Бесплатный PVS-Studio для тех, кто развивает открытые проекты

Дата: 22 Дек 2018

Автор: Андрей Карпов

В канун празднования нового 2019 года команда PVS-Studio решила сделать приятный подарок всем контрибьюторам open-source проектов, хостящихся на GitHub, GitLab или Bitbucket. Им предоставляется возмо…
Статический анализ как часть процесса разработки Unreal Engine

Дата: 27 Июн 2017

Автор: Андрей Карпов

Проект Unreal Engine развивается - добавляется новый код и изменятся уже написанный. Неизбежное следствие развития проекта - появление в коде новых ошибок, которые желательно выявлять как можно раньш…
Технологии, используемые в анализаторе кода PVS-Studio для поиска ошибок и потенциальных уязвимостей

Дата: 21 Ноя 2018

Автор: Андрей Карпов

Краткое описание технологий, используемых в инструменте PVS-Studio, которые позволяют эффективно обнаруживать большое количество паттернов ошибок и потенциальных уязвимостей. Статья описывает реализа…
Любите статический анализ кода!

Дата: 16 Окт 2017

Автор: Андрей Карпов

Я в шоке от возможностей статического анализа кода, хотя сам участвую в разработке инструмента PVS-Studio. На днях я был искренне удивлён тому, что анализатор оказался умнее и внимательнее меня.

Комментарии (0)

Следующие комментарии
Этот сайт использует куки и другие технологии, чтобы предоставить вам более персонализированный опыт. Продолжая просмотр страниц нашего веб-сайта, вы принимаете условия использования этих файлов. Если вы не хотите, чтобы ваши данные обрабатывались, пожалуйста, покиньте данный сайт. Подробнее →
Принять