转载

【缺陷周话】第16期：资源未释放：流

代码质量作为软件产品的非功能性质量是衡量软件产品的一项隐性指标。重复的代码会造成维护成本的增加，不规范的代码、不良注释和复杂度过高的代码会增加阅读和理解代码的难度。代码质量重视代码细节，例如常见的使用常量调用equals()，过大的内存分配，循环创建对象引用，流资源、数据库连接、同步锁资源未释放等。其中“资源未释放：流”是指程序创建或分配流资源后，不进行合理释放。尤其是多次创建资源未释放会占用系统开销，影响程序性能。本篇文章以 JAVA 语言源代码为例，分析“资源未释放：流”产生的原因以及修复方法。详细请参见CWE ID 404：Improper Resource Shutdown or Release (http://cwe.mitre.org/data/definitions/404.html)。

2、 “资源未释放：流” 的危害

攻击者可能会通过耗尽资源池的方式发起拒绝服务攻击。

从2018年1月至12月，CVE中共有2条漏洞信息与其相关。部分漏洞如下：

CVE	概述
CVE-2018-11055	RSA BSAFE MicroEdition Suite，4.0.11之前（4.0.x版）和4.1.6.1之前版本（4.1.x版）中包含错误释放资源漏洞。在内部释放内存之前，MES未将堆内存中的解码PKCS＃12数据归零，并且恶意本地用户可以通过执行堆检查来访问未授权数据。
CVE-2018-8836	固件版本为10及之前的Wago 750系列PLC包括远程攻击可能会利用TCP连接期间3路握手的不正确实施，从而影响与佣金和服务工具的通信。特制的数据包也可以发送到用于Codesys管理软件的端口2455 / TCP / IP，这可能导致与调试和服务工具通信的拒绝服务条件。

3、示例代码

示例源于 SamateJuliet Test Suite for Java v1.3 (https://samate.nist.gov/SARD/testsuite.php)，源文件名：CWE404_Improper_Resource_Shutdown__FileReader_01.java。

3.1缺陷代码

【缺陷周话】第16期：资源未释放：流

上述示例代码操作是一个读取文件的操作，从本地读取文件，并将读取到文本行进行输出，在代码行第39行和第51行中，readerBuffered 和 readerFile进行了关闭操作。虽然代码明显对使用的资源进行了关闭操作，但是在35行之前当代码抛出异常时，代码直接执行59行之后处理异常，则跳过关闭操作，未成功释放资源。

使用360代码卫士对上述示例代码进行检测，可以检出“资源未释放：流”缺陷，显示等级为中。在代码行第29行报出缺陷，如图1所示：

【缺陷周话】第16期：资源未释放：流