xxx源代码审计报告模板.docx

X系统

源代码安全审计报告

X公司

2021/05

1.概述

1.1.审计对象

X系统（.netFramework4.6）

1.2.目的

通过指定审计工具，利用一定的编程规范和标准，针对程序源代码，从结构、脆弱性以及缺陷等方面进行审计，以发现当前系统中存在的安全缺陷以及代码规范性缺陷。

1.3.审计工具

VCG(VisualCodeGrepper)2.2

SecurityCodeScan.VS20173.0.0

1.4.缺陷等级描述

缺陷严重等级

等级描述

致命

会造成程序崩溃的缺陷

严重

可能会影响程序的功能和性能的缺陷

中等

会影响程序的功能和性能，或者造成未定义行为的缺陷

警告

会轻度的影响程序功能性能，或者潜在的影响程序功能性能。

建议

不会直接影响程序的功能和性能，但这不是良好的代码风格，可能会有潜在的影响。

2.审计结果

2.1. 总览

扫描文件数：

992个文件

总行数：

110060行

代码行数：

65041行

注释行数

1905行

扫描工具

VCG(VisualCodeGrepper)

2.2. 致命缺陷

无

2.3. 严重缺陷

无

2.4. 中等缺陷

编号：

E202105001

描述：

ThecodeappearstousetheElectronicCodeBookciphermode.ThisdoesnotobscurepatternsintheinputdataandshouldnotbeusedforencryptingpatterneddatasuchasEnglishtext,ormostdatafiles.

对应文件：

MyFramework\MyFramework.Service\Security\AES.cs

位置：

Line:148

源码：

aes.Mode=CipherMode.ECB;

扫描工具

VCG(VisualCodeGrepper)

编号：

E202105002

描述：

ThecodeappearstousetheElectronicCodeBookciphermode.ThisdoesnotobscurepatternsintheinputdataandshouldnotbeusedforencryptingpatterneddatasuchasEnglishtext,ormostdatafiles.

对应文件：

MyFramework\MyFramework.Service\Security\AES.cs

位置：

Line:192

源码：

aes.Mode=CipherMode.ECB;

扫描工具

VCG(VisualCodeGrepper)

2.5. 警告缺陷

项目

Exocr.Service

代码

说明

文件

行

CS0168

声明了变量“ex”，但从未使用过

\Exocr\Exocr.Service\Util\Base64Image.cs

34

发现“Newtonsoft.Json”的不同版本间存在无法解决的冲突。当日志详细信息设置为“详细”时，这些引用冲突将会在生成日志中列出。

C:\ProgramFiles(x86)\MicrosoftVisualStudio\2017\Community\MSBuild\15.0\Bin\Microsoft.Common.CurrentVersion.targets

2106

项目

HrPay.Api

代码

说明

文件

行

CS1591

缺少对公共可见类型或成员“XmlDocumentationProvider.GetDocumentation(HttpActionDescriptor)”的XML注释

\HrPayWeb\HrPay.Api\Areas\HelpPage\XmlDocumentationProvider.cs

44

CS1587

XML注释没有放在有效语言元素上

\HrPayWeb\HrPay.Api\Controllers\AccountController.cs

200

CS1587

XML注释没有放在有效语言元素上

\HrPayWeb\HrPay.Api\Controllers\AccountController.cs

281

CS1587

XML注释没有放在有效语言元素上

\HrPayWeb\HrPay.Api\Controllers\AccountController.cs

287

CS1587

XML注释没有放在有效语言元素上

\HrPayWeb\HrPay.Api\Controllers\Accou