开放源代码软件JQuery 成熟度评估报告 - 开源中国社区- 软件镜像下载

开放源代码软件 JQuery 成熟度评估报告 

编制 : 贾训凯杨勇 

时间 :2011 年 03 月 5 日 

工业和信息化部软件与集成电路促进中心

目录 

Lighttpd 软件介绍 ..................................................................................................................... 3 

体系架构 ............................................................................................................................ 9 

分析结论 .......................................................................................................................... 10 

Lighttpd 软件代码质量评测报告 ................................................................................. 11 

评测工具介绍 .......................................................................................................... 11 

评测分析 .................................................................................................................. 11 

Lighttpd 易用性研究 ............................................................................................... 12 

Lighttpd 可用性性研究 ........................................................................................... 12 

License 问题 ............................................................................................................ 13 

软件成熟度评估 ...................................................................................................... 13 

Lighttpd 软件成熟度评估结论 ....................................................................................... 17 

总结 .................................................................................................................................. 18 

参考 .................................................................................................................................. 18 

附录 .................................................................................................................................. 18

Lighttpd 软件介绍 

Lighttpd 是一个德国人领导的开源软件 , 其根本的目的是提供一个专门针 

对高性能网站的安全、快速、兼容性好并且灵活的 Web 服务器环境。具有非常 

低的内存开销 ,CPU 占用率低 , 效能好 , 以及丰富的模块等特点。Lighttpd 是 

众多开源轻量级的 Web 服务器中较为优秀的一个。支持 FastCGI, CGI, Auth, 输 

出压缩 (output compress), URL 重写 , Alias 等重要功能 , 而 Apache 之所以流行 , 

很大程度也是因为功能丰富 , 在 Lighttpd 上很多功能都有相应的实现了 , 这点对 

于 Apache 的用户是非常重要的 , 因为迁移到 Lighttpd 就必须面对这些问题。 

Lighttpd 是一个性能非常优异的轻量级开源 Web 服务器。Lighttpd 可以轻 

松支撑上万的并发 , 在单台服务器上支撑到 3 万并发也不是问题 , 并且请求的 

处理速度也非常快 , 比 Apache 要快 3~5 倍。Lighttpd 支持 Web2.0, 支持 

PHP、Python 和 Ruby 等脚本语言。 

Lighttpd 主要特性如下 : 

• 提供 FastCGI 及 SCGI 的负载平衡 ; 

• 支持 chroot; 

• 支持 select()/poll() 及更有效率的 kqueue/epoll 连接状态判断 ; 

• 支持条件重写 (Conditional rewrites);

• 支持 SSL 连接 ; 

• 通过 LDAP server 认证 ; 

• rrdtool 状态输出 ; 

• 基于规则 (Rule-based) 的下载 ; 

• 服务器端包含支持 ; 

• 虚拟主机 ; 

• 模块化支持 ; 

• 元数据缓存语言 ; 

• 最小 WebDAV 支持 ; 

• Servlet (AJP) 支持 (1.5.x 版后 )。 

Lighttpd 软件的主要组件模块 : 

mod_accesslog – 缺省为通用日志格式 , 像 Apache 一样灵活。 

mod_access – 访问模块用来对部分文件的访问控制。 

mod_alias – alias 模块是用来对给定的一个 url-subset 指定一个专门的 document-

oot。 

mod_auth – Lighttpd 支持 RFC 2617 描述的两种身份验证方法。 

mod_cgi – cgi 程序提供了非常直接和简单的方法用来增强服务器的功能。 

mod_cml – CML( 缓存元语言 ) 要解决一下几个问题 : 

• 动态内容需要缓存后执行 

• 检查应用的内容是否为脏通常比把缓存数据发送出去要费时 

• 动态页面通常是被分割成片段的 , 并且不同片段有不同的生命周期 

• 不同的片段能被独立的缓存 

mod_compress – 压缩输出能降低网络负载 , 并且能改善 web 服务器的整体吞吐 

量。所有主流的 http 客户端都支持在 Accept-Encoding 头中声明过的压缩 , 这 

是最合适的压缩方法 , 此模块可以支持 deflate、gzip 和 bzip2 压缩。deflate 

(RFC1950, RFC1951) 和 gzip (RFC1952) 依赖 zlib 而 bzip2 依赖 libbzip2, 只有 

lynx 和一些其它的文本浏览器才支持 bzip2。当前只支持静态页面的压缩。 

mod_dirlisting – 列出目录模块 , 是默认加载模块之一 , 不需要在 server.modules 

中指定就可以工作。如果请求一个目录并且此目中又没有索引文件 , 那么会生成一 

个列表。 

mod_evasive – 是一个非常简单的模块 , 用来限制每一个 IP 的链接。 

mod_evhost – 增强型主机 ,mod_evhost 基于一种包含通配符的模式构建文件主 

机 , 这些通配符可以代表提交的部分主机名。 

%% => % sign 

%0 => domain name + tld 

%1 => tld

%2 => domain name without tld 

%3 => subdomain 1 name 

%4 => subdomain 2 name 

%_ => full domain name 

evhost.path-pattern = "/home/www/servers/%3/pages/" 

mod_expire – 控制缓存中内容的过期时间 , 控制过期时间和缓存控制 : 

HTTP/1.0 和 HTTP/1.1 响应头中的 max-age 字段。用它来设置一些需要缓存的静 

态文件 , 像图像和样式表等是很有用的。 

mod_extforward – 这个模块用来从 X-Forwarded-For 报头中提取出客户端的真实 

IP,X-Forwarded-For 报头是 Squid 或者其他代理添加的。这也许对反向代理服务 

器后面的服务器是有用的。 

mod_fastcgi – FastCGI 接口。Lighttpd 为支持 FastCGI 接口的外部程序提供接口。 

FastCGI 接口是在 http://www.fastcgi.com/ 中定义的 , 并且是 web 程序和 web 服务 

器之间平台独立、服务器独立的接口。 

mod_magnet - mod_magnet 是 lighty 中用来控制请求处理的模块 , 它可以让你做 

更复杂的 URL 重写和缓存。 

mod_mysql_vhost- 基于 MySQL 的虚拟主机。使用基于 MySQL 的虚拟主机 , 可 

以存储数据到 MySQL 数据库中给定的主机目录。 

mod_proxy – 支持代理服务。 

mod_redirect – URL 重定向 , 用来指定一组 URL 的重定向。

mod_rewrite – URL 重写 , 内部重定向 ,URL 重写。 

mod_rrdtool – RRD 是用来存储和显示基于时间轴的数据 ( 例如网络带宽、机房温 

度和服务器平均负载等 ) 

mod_scgi – SCGI 接口。当涉及到配置的时候 ,SCGI 主要基于 FastCGI。只有服务 

器和客户端之间的内部协议替换了。请参考 FastCGI 模块的文档了解更多信息。 

mod_secdownload – 安全和快速下载模块。有多种方法可以实现安全下载机制 : 

1) 使用网络服务器和内部 HTTP 认证 

2) 使用应用程序认证并且通过应用程序发送文件 

这两种方式都有局限性服务器方式 : 

• 快速下载 

• 没有额外的系统负担 

• 僵化的认证处理应用程序方式 : 

• 集成到整个系统中 

• 非常灵活的权限管理 

• 下载要占用一个进程或线程把这两种方式结合起来的 

简单方法是 : 

1) 由应用程序验证用户并检查下载文件的权限 

2) 由应用程序重定向用户到文件 , 此文件可以被服务器所访问以便 

提供进一步的下载 

3) Web 服务器的文件传输给用户 

mod_simple_vhost – 简单虚拟主机模块。 

mod_ssi – SSI 是一种比较老的在服务器端产生动态网页的方式。

不建议使用这个模块 , 因为 : 

• 在服务器核心执行 SSI 脚本 

• 一个长时间运行的 SSI 脚本会阻止处理所有其它连接 

• 只要你使用 #EXEC 性能会不如直接使用 CGI 脚本好 

有两个原因你只能使用 SSI: 

• 包含 #include 的内容 

• 旧的应用程序 

mod_status – 服务器状态模块生成 Web 服务器的状态概述 , 包括的信息如下 : 

• 正常运行时间 

• 平均吞吐量 

• 当前吞吐量 

• 当前活动的连接和它们的状态 

mod_userdir – userdir 模块可以简单的把用户目录和 web 服务器全局命名空间连接 

起来。 

mod_usertrack - 点击流是由网站的访问者浏览网站时执行的页面访问和相关的 

点击。 Usertrack 模块设置一个用户端的 cookie, 以便点击流日志来跟踪用户的活 

动。 

mod_webdav - WebDAV 模块是 RFC 2518 的简单实现 , 所谓简单实现就是只实现 

了部分操作 , 目前只有 : 

• PROPFIND 

• OPTIONS 

• MKCOL 

• DELETE

• PUT 

• LOCK (experimental) 

和常用的 GET, POST, HEAD 操作。 

体系架构 

在 Lighttpd 中 , 使用插件的形式来增加服务的功能。同时 ,Lighttpd 提供了 

一个插件的公共接口给开发者 , 方便第三方提供额外的插件。Lighttpd 的插件接口 

主要提供在 plugin.h 文件中。其中 ,plugin 结构体是最核心的部分。在结构体 

plugin 的设计中 , 作者使用了面向对象的思想。plugin 结构体就是一个虚基类 , 其 

中的数据成员 , 如 name,version 等都是子类公有的。而随 

后的一系列函数指针则是虚函数 , 这些函数指针在 plugin 结构体中并没有进行 

赋值 , 要求所有的子类必须对其进行赋值。不同的子类对这些函数指针赋不同 

的值 , 在进行函数调用的时候就可以实现多态。 

另外 ,C 语言毕竟不支持面向对象 , 因此 , 在通过 c 实现面向对象的时候 

大多情况先是要靠人的理解 , 而不是语言上的约束。如 plugin 结构体是一个虚 

基类 , 实际上所有的子类都是这个结构体的实例 , 而子类的实例只有一个 , 也 

就是他自己。这就和 C++ 中的子类不同了。 

在 plugin 结构体中 ,version 成员比较重要。很明显 , 这个成员标记这个插 

件的版本。在 plugin 结构体中定义的那一系列函数指针是插件的对外接口 , 也就 

是插件对 Lighttpd 的接口 ,Lighttpd 只知道这些接口 , 通过调用这些接口来完 

成工作。随着 Lighttpd 的不断改进 , 这些接口可能满足不了服务器的要求 , 因

此要对其进行改进 , 这样就有可能造成以前开发的插件无法使用。通过 version 

成员 , 在加载插件的时候判断这个插件是否符合当前服务器的版本 , 也就是接 

口是否相符。如果不相符 , 则不加载插件 , 这样就可以避免由于接口的不相符 

造成服务器的崩溃等问题。 

插件的加载和初始化的过程 : 

(1) 根据配置文件从相应的目录中加载插件的动态连接库。 

函 

(2) 获得插件动态库中 XXX_plugin_init 函数的入口地址并调用之。此 

数对 plugin 结构体进行赋值。 

(3) 在 server 结构体中注册插件。 

(4) 调用 plugins_call_init 初始化插件。 

(5) 通过上面那个宏及后面一系列的宏调用 , 将插件登记造册 , 记录 

在 server 结构体的 plugins_slots 成员中。plugins_slot 是一个二维数组 , 数组成 

员是 plugin 结构体指针。 

(6) 最后调用插件的 init 函数初始化各自的 plugin_data 结构体。 

分析结论 

本软件虽然由 C 语言写成 , 但程序的构造多参考面向对象的设计。整个程序架 

构完整 , 结构灵活 , 可移植性较强。软件的设计者不仅为用户停工了丰富的功能 , 

而且在各个层面都为程序的可扩展性和部署的灵活性留下接口。在 Lighttpd 中 , 

使用插件的形式来增加服务的功能。同时 ,Lighttpd 提供了一个插件的公共接口 

给开发者 , 方便第三方提供额外的插件。 

软件的配置完全依赖于修改配置文件 , 没有配置工具。软件的设计中可能由于 

历史的原因 , 资源切换和改变事件有多个切入点 , 不利于系统的扩展和灵活应用 

( 即一个单一的事件处理入口对软件是必要的 )。系统的设计中 , 在从 Partition 

故障中回复的动作设计的不够灵活 , 过于简单 , 也没有为扩充留下相应的接口或介 

入点。

Lighttpd 软件代码质量评测报告 

评测工具介绍 

源代码质量管理工具 , 可集成各种源代码静态分析工具 , 支持 c/c++,java, 

php,pthyon 等语言 , 通过该工具可以了解源代码的包括缺陷、漏洞等质量情况 , 

以及代码行 , 架构等软件度量信息 , 帮助了解整体代码的成熟度。主要特点为 

代码覆盖 : 通过单元测试 , 将会显示哪行代码被选中 ; 改善编码规则 ; 搜寻编 

码规则 : 按照名字 , 插件 , 激活级别和类别进行查询 ; 项目搜寻 : 按照项目的 

名字进行查询 ; 对比数据 : 比较同一张表中的任何测量的趋势 ; 

RATS(Rough Auditing Tool for Security) 是一个开源的静态代码分析 

工具 , 它由 Secure Software 公司开发和维护 ,Secure Software 公司已被 

Fortify 软件公司收购 (Fortify 软件公司现已被 HP 公司收购 )。RATS 可对 C, 

C++,Perl,PHP,Python 等语言的源代码进行静态分析 , 可标注出编程中 

经常出现的安全性错误 , 例如 : 缓存溢出 , TOCTOU (Time Of Check, Time Of 

Use) race conditions 等。 

RATS 扫描工具提供了一个安全分析模块 , 这个模块含有一个列表 , 此列表存 

储的是可能出现的安全问题以及处理建议。RATS 还对每个安全问题的潜在危险程 

度进行评估 , 为评估人员提供参考。RATS 还提供一些基本的分析以消除一些伪错 

误。 

正如 RATS 这个软件的名称所示 , 该工具只是对源代码进行一个粗略的分析 , 

它不能找到所有的错误同时也不能保证找到的错误都是真正的错误 , 所以人工的手 

动审查是必须的 , 可以将该工具视为有力的辅助工具。 

评测分析 

通过对 Lighttpd 模块的分析 , 我们得出评测结论。代码的整体风格统一 , 格 

式工整 , 总体质量较好。程序结构复杂度合理 , 出现较多的问题主要是代码中潜在 

的对 NULL 对象的引用。注释方面 , 注释丰富 , 每个程序文件有基本说明 , 某些重 

要的代码有详细解释 , 给社区参与创造了较好的代码环境。 

软件测试 

Lighttpd 项目没有专门的 Quality Assurance 组织 , 但项目中有几位成员主 

要负责软件的测试。在网站上无专门的用户报告错误或参与测试的页面 , 错误的报

告主要通过 Mail List 和 IRC 进行。项目提供了一个批处理自动测试环境和一些工 

具供测试者使用 , 可以方便的对软件的主要模块进行自动仿真测试。 

此外 ,IBM 等一些公司也有专门人员帮助测试和开发。 

Lighttpd 易用性研究 

Lighttpd 无图形配置、使用、监控环境。软件的主要配置和管理靠修改配置 

文件进行 , 不过 , 软件提供了一些功能丰富的命令行工具 , 这也是服务器软件的一 

般做法。软件的部署和配置非常灵活 , 缺点是缺乏好的监控工具。 

Lighttpd 可用性性研究 

Lighttpd 不同于 Apache 的多进程模型 , 它采用了 IO 多路复用 , 还可以在 

Linux 平台上使用内核级别的事件驱动模式 , 因此 ,Lighttpd 具有远远高于 

Apache 的性能 , 能够在单台物理服务器上支撑超过上万个并发连接请求。 

虽然 FastCGI 是一种古老的服务器端技术 , 但是无论在过去还是现在 , 它 

仍然被广泛地使用 , 而且被证明是一种经得起考验的技术。最近 , 随着 PHP、 

Python 和 Ruby 等互联网动态脚本语言的崛起 ,FastCGI 技术咸鱼翻身 , 

得到更多人的关注了。在这种情况下 ,Apache 的 FastCGI 支持存在严重的性能缺 

陷 , 因而 Lighttpd 就显得特别重要。 

性能能够和 Lighttpd 相提并论的 Web 服务器有很多 , 但是能够支持如此丰 

富功能的 Web 服务器 , 还能有这么强大的性能 , 那就只有 Lighttpd 了。目前 , 

Lighttpd 已经可以支持绝大多数 Apache 常用的功能 , 因此只要不是使用了 

Apache 比较罕见的功能 , 都可以从 Apache 顺利迁移到 Lighttpd 上面来。 

社区及项目组织

Lighttpd 项目是一个典型的服务器端开源软件 , 项目由几位在 HA 应用集群领 

域活跃的软件作者主持 , 项目借助网络 , 如 Mail List,IRC, 论坛等工具进行交 

流 , 吸引大量参与者参与开发、测试、书写应用文档。同时 , 项目也吸引了一些公 

司的支持与参与。该项目在实际环境中有大量应用 , 一些企业也将其作为自己解决 

方案的一部分 , 提供了许多应用案例 , 取得大量反馈意见 , 极大的推动了该软件的 

应用与发展。 

License 问题 

Lighttpd 是一套开放源代码的网页服务器 , 以 BSD 许可证发布。 

软件成熟度评估 

软件成熟度属性定义与量化 

ID Class Name Weight 

01 技术架构设计 4 

02 代码质量 4 

03 软件易用性 1 

04 软件可用性 4 

05 项目建设与管理 2 

06 项目的活跃程度 4 

07 项目测试情况 2 

08 软件应用支持 4 

09 软件法律问题 1 

以下为各属性类的属性定义 :

ID Class Name Entry Weight Value Memo 

01 

技术架构设 

计 

合理性 4 3 

02 技术架构设 

计 

可扩展性 3 4 

03 技术架构设 

计 

可移植性 2 5 

04 

05 

06 


01 代码质量代码错误率 4 5 

02 代码质量代码可读性 4 4 

03 代码质量代码复杂度 2 4 

04 

05 

06 


01 软件易用性易理解性 2 3

02 软件易用性易学习性 2 3 

03 软件易用性易操作性 4 3 

04 

05 

06 


01 软件可用性完备性 3 2 

02 软件可用性正确性 4 4 

03 软件可用性可靠性 4 5 

04 软件可用性安全性 2 4 

05 

06 


01 

项目建设与 

管理 

组织架构 2 2 

02 项目建设与 

管理 

开发管理 4 3 

03 项目建设与 

管理 

网站建设 3 3

04 

05 


01 

项目的活跃 

程度 

版本发布周 

期 

2 3 

02 项目的活跃 

程度 

软件下载量 3 4 

03 项目的活跃 

程度 

交流机制 4 4 

04 

05 


01 

项目测试情 

况 

测试方法 

( 工具 ) 

3 4 

02 项目测试情 

况 

测试人员 4 4 

03 项目测试情 

况 

测试反馈 2 3 

04 

05 

ID Class Name Entry Weight Value Memo

01 

软件应用支 

持 

社区支持度 4 3 

02 软件应用支 

持 

企业支持度 3 3 


持 

应用成熟度 3 4 


持 

书籍或文档 

指南 

2 3 新版本中文 

较少 

05 


01 

软件法律问 

题 

软件版权协 

议 

4 5 

02 软件法律问 

题 

专利与纠纷 1 4 

03 

04 

05 

Lighttpd 软件成熟度评估结论 

按照我们的开放源代码软件评估体系计算模型的公司进行计算 , 最终该软件的 

评估值为 :305.18。

总结 

通过对开源软件成熟度评估体系的描述 , 以及我们应用该评价模型进行的两个 

试验案例。证明了评估模型的正确性和实用性 , 为我们今后从事开源软件评估工作 

奠定了基础。 

参考 

1 Lighttpd 的官方网站 :http://www.Lighttpd.net 

2 Lighttpd 的官方博客 :http://blog.Lighttpd.net 

3 Lighttpd 的 wiki:http://trac.Lighttpd.net 

4 Lighttpd 中文官网 http://www.Lighttpd.com.cn/ 

附录 

Lighttpd 软件代码质量评测报告 : 

RATS 扫描结果节选如下 : 

RATS results. 

Severity: High 

Issue: getopt 

Truncate all input strings to a reasonable length before passing them to this function 

File: Lighttpd-1.4.28/src/server.c Line:563[26] while(-1 != (o = 

getopt(argc, argv, "f:m:hvVDpt"))) { 


Issue: fixed size global buffer 

Extra care should be taken to ensure that character arrays that are allocated on the stack 

are used safely. They are prime targets for buffer overflow attacks. File: Lighttpd- 

1.4.28/src/mod_usertrack.c Line:178[18] unsigned char h[16]; 

File: Lighttpd-1.4.28/src/mod_usertrack.c Line:180[9] 

char hh[32];

File: Lighttpd-1.4.28/src/mod_fastcgi.c Line:1823[9] 

char buf[32]; 


char b2[INET6_ADDRSTRLEN + 1]; 

File: Lighttpd-1.4.28/src/mod_cml_funcs.c Line:43[9] 

char hex[33]; 

File: Lighttpd-1.4.28/src/mod_auth.c Line:287[25] 

char hh[33]; 

File: Lighttpd-1.4.28/src/http_auth.c Line:448[5] 

char passwd[120], *p; 

File: Lighttpd-1.4.28/src/http_auth.c Line:450[14] unsigned 

char final[APR_MD5_DIGESTSIZE]; 


char a1[256]; 


char sample[120]; 


char salt[32]; 


char a1[256]; 


char a2[256]; 


char hh[32]; 

File: Lighttpd-1.4.28/src/mod_dirlisting.c Line:642[9] char 

sizebuf[sizeof("999.9K")]; 

File: Lighttpd-1.4.28/src/mod_dirlisting.c Line:643[9] 

char datebuf[sizeof("2005-Jan-01 22:23:24")]; File: 

Lighttpd-1.4.28/src/mod_dirlisting.c Line:648[9] char 

attrval[128]; 

File: Lighttpd-1.4.28/src/mod_extforward.c Line:349[9] 


File: Lighttpd-1.4.28/src/lemon.c Line:1297[3] 

char errmsg[ERRMSGSIZE]; 

File: Lighttpd-1.4.28/src/lemon.c Line:1298[3] char 

prefix[PREFIXLIMIT+10]; 


char *set[LISTSIZE]; 


char *alias[MAXRHS]; /* Aliases for each RHS symbol (or NULL) */ 


char buf[20]; 


char line[LINESIZE];


char buf[1000]; 


char used[MAXRHS]; /* True for each RHS element which is used */ 


char line[LINESIZE]; 


char line[LINESIZE]; 

File: Lighttpd-1.4.28/src/lemon.c Line:3595[3] char 

pattern[LINESIZE]; 

File: Lighttpd-1.4.28/src/mod_cgi.c Line:731[9] char 

b2[INET6_ADDRSTRLEN + 1]; 

File: Lighttpd-1.4.28/src/mod_cgi.c Line:769[17] 

char buf[32]; 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:1453[9] 

char buf[32]; 



File: Lighttpd-1.4.28/src/http-header-glue.c Line:137[17] 

char hbuf[256]; 


char dst[INET6_ADDRSTRLEN]; 


char buf[sizeof("Sat, 23 Jul 2005 21:20:01 GMT")]; File: 

Lighttpd-1.4.28/src/http-header-glue.c Line:339[25] char 

buf[sizeof("Sat, 23 Jul 2005 21:20:01 GMT")]; File: 

Lighttpd-1.4.28/src/connections.c Line:1261[17] char 

buf[1024]; 

File: Lighttpd-1.4.28/src/connections.c Line:1621[33] 


File: Lighttpd-1.4.28/src/request.c Line:474[58] 

unsigned char buf[2]; 

File: Lighttpd-1.4.28/src/mod_ssi.c Line:239[9] 

char buf[32]; 

File: Lighttpd-1.4.28/src/mod_ssi.c Line:244[9] char 

b2[INET6_ADDRSTRLEN + 1]; 



File: Lighttpd-1.4.28/src/mod_accesslog.c Line:201[41] 

char hh[5] = {'\\','x',0,0,0}; 

File: Lighttpd-1.4.28/src/mod_cml_lua.c Line:401[25] 

char timebuf[sizeof("Sat, 23 Jul 2005 21:20:01 GMT")]; 

File: Lighttpd-1.4.28/src/mod_status.c Line:206[9] 

char buf[32];

File: Lighttpd-1.4.28/src/mod_status.c Line:569[9] 

char buf[32]; 

File: Lighttpd-1.4.28/src/mod_webdav.c Line:2318[57] 

char uuid[37] /* 36 + \0 */; 

File: Lighttpd-1.4.28/src/md5.c Line:177[12] 

unsigned char bits[8]; 


Issue: strcpy 

Check to be sure that argument 2 passed to this function call will not copy more data 

than can be handled, resulting in a buffer overflow. File: Lighttpd- 

1.4.28/src/mod_fastcgi.c Line:877[17] strcpy(fcgi_addr_un.sun_path, 

proc->unixsocket->ptr); File: Lighttpd-1.4.28/src/mod_fastcgi.c Line:1666[17] 

strcpy(fcgi_addr_un.sun_path, proc->unixsocket->ptr); File: Lighttpd- 

1.4.28/src/http_auth.c Line:535[5] strcpy(passwd, APR1_ID); 


strcpy(path, dir->ptr); 

File: Lighttpd-1.4.28/src/network.c Line:309[17] 

strcpy(srv_socket->addr.un.sun_path, host); File: 

Lighttpd-1.4.28/src/lemon.c Line:2547[3] 

strcpy(name,cp); 

File: Lighttpd-1.4.28/src/lemon.c Line:3126[7] strcpy(types[hash],stddt); 


strcpy(z,y); 


strcpy(scgi_addr_un.sun_path, proc->socket->ptr); File: 

Lighttpd-1.4.28/src/mod_scgi.c Line:1335[17] 

strcpy(scgi_addr_un.sun_path, proc->socket->ptr); 


Issue: gethostbyname 

DNS results can easily be forged by an attacker (or arbitrarily set to large values, etc), and 

should not be trusted. 


if (NULL == (he = gethostbyname(host->host->ptr))) 

{ File: Lighttpd-1.4.28/src/network.c Line:283[43] if 

(NULL == (he = gethostbyname(host))) { File: 

Lighttpd-1.4.28/src/mod_scgi.c Line:700[43] if 

(NULL == (he = gethostbyname(host->host->ptr))) { 


Issue: getenv 

Environment variables are highly untrustable input. They may be of any length, and 

contain any data. Do not make any assumptions regarding content or length. If at all 

possible avoid using them, and if it is necessary, sanitize them and truncate them to a 

reasonable length. 


if (NULL != (ge = getenv(ds->value->ptr))) { File:

Lighttpd-1.4.28/src/lemon.c Line:34[14] extern char 

*getenv(); 

File: Lighttpd-1.4.28/src/lemon.c Line:2769[16] pathlist 

= getenv("PATH"); 

File: Lighttpd-1.4.28/src/configparser.c Line:955[24] if 

(NULL != (env = getenv(yymsp[0].minor.yy43->ptr + 4))) 

{ File: Lighttpd-1.4.28/src/proc_open.c Line:156[30] if 

(NULL == (shell = getenv(SHELLENV)) && File: Lighttpd- 

1.4.28/src/proc_open.c Line:157[43] 

NULL == (windir = getenv("SystemRoot")) && 

File: Lighttpd-1.4.28/src/proc_open.c Line:158[43] 

NULL == (windir = getenv("windir"))) { 

File: Lighttpd-1.4.28/src/proc_open.c Line:238[30] if 

(NULL == (shell = getenv(SHELLENV))) { File: 

Lighttpd-1.4.28/src/mod_cgi.c Line:923[34] if 

(NULL != (s = getenv("LD_PRELOAD"))) { File: 


(NULL != (s = getenv("LD_LIBRARY_PATH"))) { File: 


(NULL != (s = getenv("SYSTEMROOT"))) { File: 

Lighttpd-1.4.28/src/mod_scgi.c Line:804[59] if 

(NULL != (ge = getenv(ds->value->ptr))) { File: 

Lighttpd-1.4.28/tests/fcgi-auth.c Line:21[27] if (((p = 

getenv("QUERY_STRING")) == NULL) || File: 

Lighttpd-1.4.28/tests/fcgi-responder.c Line:20[34] if 

(NULL != (p = getenv("QUERY_STRING"))) { 

File: Lighttpd-1.4.28/tests/fcgi-responder.c Line:44[38] printf("%s", 

getenv("PATH_INFO")); 

File: Lighttpd-1.4.28/tests/fcgi-responder.c Line:46[38] 

printf("%s", getenv("SCRIPT_NAME")); 


Issue: strncat 

Consider using strlcat() instead. 


strncat(passwd, sp, sl); 


Issue: strncat 


than can be handled, resulting in a buffer overflow. File: Lighttpd- 

1.4.28/src/http_auth.c Line:536[5] 

strncat(passwd, sp, sl); 


Issue: vsprintf 

Check to be sure that the non-constant format string passed as argument 2 to this 

function call does not come from an untrusted source that could have added formatting

characters that the code is not prepared to handle. File: Lighttpd-1.4.28/src/lemon.c 

Line:1316[3] vsprintf(errmsg,format,ap); 


Issue: vsprintf 

Check to be sure that the format string passed as argument 2 to this function call does 

not come from an untrusted source that could have added formatting characters that the 

code is not prepared to handle. Additionally, the format string could contain `%s' without 

precision that could result in a buffer overflow. File: Lighttpd-1.4.28/src/lemon.c 

Line:1316[3] vsprintf(errmsg,format,ap); 


Issue: strcat 


than can be handled, resulting in a buffer overflow. File: Lighttpd-1.4.28/src/lemon.c 

Line:2550[3] 

strcat(name,suffix); 


Issue: sprintf 

Check to be sure that the format string passed as argument 2 to this function call does 

not come from an untrusted source that could have added formatting characters that the 

code is not prepared to handle. Additionally, the format string could contain `%s' without 

precision that could result in a buffer overflow. File: Lighttpd-1.4.28/src/lemon.c 

Line:2766[16] if( path ) sprintf(path,"%s/%s",argv0,name); File: Lighttpd- 

1.4.28/src/lemon.c Line:2778[9] sprintf(path,"%s/%s",pathlist,name); 


sprintf(buf,"%s.lt",lemp->filename); 


sprintf(line,"\"%s\",",lemp->symbols[i]->name); File: 


sprintf(pattern,"#define %s%-30s %2d\n",prefix,lemp->symbols[i]->name,i); 


Issue: syslog 

Truncate all input strings to a reasonable length before passing them to this function 

File: Lighttpd-1.4.28/src/log.c Line:372[17] syslog(LOG_ERR, "%s", 

srv->errorlog_buf->ptr); File: Lighttpd-1.4.28/src/mod_accesslog.c 

Line:418[49] 

syslog(LOG_INFO, "%*s", (int) s->access_logbuffer->used - 2, 

s>access_logbuffer->ptr); 

File: Lighttpd-1.4.28/src/mod_accesslog.c Line:596[41] 

syslog(LOG_INFO, "%*s", (int) s->access_logbuffer->used - 2, 

s>access_logbuffer->ptr); 

File: Lighttpd-1.4.28/src/mod_accesslog.c Line:907[33] syslog(LOG_INFO, 

"%*s", (int) b->used - 2, b->ptr); 


Issue: CreateProcess

Many program execution commands under Windows will search the path for a program 

if you do not explicitly specify a full path to the file. This can allow trojans to be 

executed instead. Also, be sure to specify a file extension, since otherwise multiple 

extensions will be tried by the operating system, providing another opportunity for 

trojans. 

File: Lighttpd-1.4.28/src/proc_open.c Line:192[18] 

procok = CreateProcess(NULL, cmdline->ptr, &security, &security, TRUE, 


Issue: CreateProcess 

Argument 3 to this function call should be checked to ensure that it does not come from 

an untrusted source without first verifying that it contains nothing dangerous. File: 

Lighttpd-1.4.28/src/proc_open.c Line:192[18] 

procok = CreateProcess(NULL, cmdline->ptr, &security, &security, TRUE, 


Issue: fprintf 

Check to be sure that the non-constant format string passed as argument 2 to this 

function call does not come from an untrusted source that could have added formatting 

characters that the code is not prepared to handle. File: Lighttpd- 

1.4.28/src/proc_open.c Line:385[17] 

fprintf(stdout, "test: echo 123 | " CMD_CAT "\n"); fflush(stdout); 


Issue: gethostbyaddr 

DNS results can easily be forged by an attacker (or arbitrarily set to large values, etc), and 



if (NULL == (he = gethostbyaddr((char *)&our_addr.ipv4.sin_addr, sizeof(struct 

in_addr), AF_INET))) { 


Issue: LoadLibrary 

LoadLibrary will search several places for a library if no path is specified, allowing 

trojan DLL's to be inserted elsewhere even if the intended DLL is correctly protected 

from overwriting. Make sure to specify the full path. File: Lighttpd-1.4.28/src/plugin.c 

Line:148[39] 

if (NULL == (p->lib = LoadLibrary(srv->tmp_buf->ptr))) { 


Issue: gethostbyaddr 

DNS results can easily be forged by an attacker (or arbitrarily se t to large values, etc), and 


File: Lighttpd-1.4.28/tests/LightyTest.pm Line:48[49] 

my ($name, $aliases, $addrtype, $net) = gethostbyaddr(inet_aton("127.0.0.1"), 

AF_INET); 

Severity: Medium 

Issue: realloc 

Don't use on memory intended to be secure, because the old structure will not be zeroed 

out.

File: Lighttpd-1.4.28/src/buffer.c Line:119[26] b->ptr 

= realloc(b->ptr, b->size); 

File: Lighttpd-1.4.28/src/buffer.c Line:467[26] b->ptr = 

realloc(b->ptr, sizeof(*b->ptr) * b->size); File: Lighttpd- 

1.4.28/src/mod_rewrite.c Line:90[28] kvb->ptr = 

realloc(kvb->ptr, kvb->size * sizeof(*kvb->ptr)); File: 

Lighttpd-1.4.28/src/mod_fastcgi.c Line:651[37] ext->exts = 

realloc(ext->exts, ext->size * sizeof(*(ext->exts))); File: 

Lighttpd-1.4.28/src/mod_fastcgi.c Line:665[29] fe->hosts = 

realloc(fe->hosts, fe->size * sizeof(*(fe->hosts))); File: 

Lighttpd-1.4.28/src/mod_fastcgi.c Line:784[28] env->ptr = 

realloc(env->ptr, env->size * sizeof(*env->ptr)); File: 







Lighttpd-1.4.28/src/joblist.c Line:16[39] 

srv->joblist->ptr = realloc(srv->joblist->ptr, sizeof(*srv->joblist->ptr) * 

srv>joblist->size); 

File: Lighttpd-1.4.28/src/joblist.c Line:51[43] 

srv->fdwaitqueue->ptr = realloc(srv->fdwaitqueue->ptr, 

sizeof(*(srv>fdwaitqueue->ptr)) * srv->fdwaitqueue->size); File: Lighttpd- 

1.4.28/src/mod_dirlisting.c Line:109[28] exb->ptr = realloc(exb->ptr, exb->size 

* sizeof(*exb->ptr)); File: Lighttpd-1.4.28/src/mod_dirlisting.c Line:763[57] 

list->ent = (dirls_entry_t**) realloc(list->ent, sizeof(dirls_entry_t*) * list>size); 


srv->srv_sockets.ptr = realloc(srv->srv_sockets.ptr, srv->srv_sockets.size * 

sizeof(server_socket)); 


p->aLookahead = realloc( p->aLookahead, File: 


p->aAction = realloc( p->aAction, 

File: Lighttpd-1.4.28/src/configfile.c Line:986[22] 

s1 = realloc(s, len); 

File: Lighttpd-1.4.28/src/mod_evhost.c Line:81[42] 

s->path_pieces = 

* sizeof(*srealloc(s->path_pieces,(s->len+2) 

>path_pieces)); 

File: Lighttpd-1.4.28/src/mod_evhost.c Line:95[34] 

s->path_pieces = 

* sizeof(*srealloc(s->path_pieces,(s->len+1) 

>path_pieces));

File: Lighttpd-1.4.28/src/mod_cgi.c Line:201[26] r->ptr = 

realloc(r->ptr, sizeof(*r->ptr) * r->size); File: Lighttpd- 

1.4.28/src/mod_cgi.c Line:719[28] env->ptr = 


Lighttpd-1.4.28/src/mod_cgi.c Line:1002[35] env.ptr = 

realloc(env.ptr, env.size * sizeof(*env.ptr)); File: Lighttpd- 

1.4.28/src/mod_scgi.c Line:510[37] 

ext->exts = realloc(ext->exts, ext->size * sizeof(*(ext->exts))); 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:524[29] fe->hosts = 

realloc(fe->hosts, fe->size * sizeof(*(fe->hosts))); File: 

Lighttpd-1.4.28/src/mod_scgi.c Line:636[28] env->ptr = 


Lighttpd-1.4.28/src/array.c Line:219[29] a->data = 

realloc(a->data, sizeof(*a->data) * a->size); File: Lighttpd- 

1.4.28/src/array.c Line:220[29] 

a->sorted = realloc(a->sorted, sizeof(*a->sorted) * a->size); 

File: Lighttpd-1.4.28/src/keyvalue.c Line:148[27] kvb->kv 

= realloc(kvb->kv, kvb->size * sizeof(*kvb->kv)); File: 

Lighttpd-1.4.28/src/keyvalue.c Line:199[27] kvb->kv = 

realloc(kvb->kv, kvb->size * sizeof(*kvb->kv)); File: 

Lighttpd-1.4.28/src/keyvalue.c Line:250[27] kvb->kv = 

realloc(kvb->kv, kvb->size * sizeof(*kvb->kv)); 

File: Lighttpd-1.4.28/src/keyvalue.c Line:339[27] 

kvb->kv = realloc(kvb->kv, kvb->size * sizeof(*kvb->kv)); File: 

Lighttpd-1.4.28/src/mod_magnet_cache.c Line:102[38] cache->ptr 

= realloc(cache->ptr, cache->size * sizeof(*(cache->ptr))); File: 

Lighttpd-1.4.28/src/connections.c Line:56[30] 

conns->ptr = realloc(conns->ptr, sizeof(*conns->ptr) * conns->size); File: 

Lighttpd-1.4.28/src/plugin.c Line:87[38] 

srv->plugins.ptr = realloc(srv->plugins.ptr, srv->plugins.size * sizeof(*ps)); File: 

Lighttpd-1.4.28/src/mod_accesslog.c Line:234[55] 

fields->ptr = realloc(fields->ptr, fields->size * sizeof(format_field * )); File: 


fields->ptr = realloc(fields->ptr, fields->size * sizeof(format_field * )); File: 


fields->ptr = realloc(fields->ptr, fields->size * sizeof(format_field * )); 

File: Lighttpd-1.4.28/src/stat_cache.c Line:519[36] ctrl.ptr = 

realloc(ctrl.ptr, ctrl.size * sizeof(*ctrl.ptr)); 


req_props->ptr = realloc(req_props->ptr, sizeof(*(req_props->ptr)) * 

req_props->size); 

File: Lighttpd-1.4.28/src/fdevent_poll.c Line:42[42] 

ev->unused.ptr = realloc(ev->unused.ptr, sizeof(*(ev->unused.ptr)) * 

ev>unused.size); 

File: Lighttpd-1.4.28/src/fdevent_poll.c Line:100[39]

ev->pollfds = realloc(ev->pollfds, sizeof(*ev->pollfds) * ev->size); 


Issue: signal 

When setting signal handlers, do not use the same function to handle multiple signals. 

There exists the possibility a race condition will result if 2 or more different signals are 

sent to the process at nearly the same time. Also, when writing signal handlers, it is best 

to do as little as possible in them. The best strategy is to use the signal handler to set a 

flag, that another part of the program tests and performs the appropriate action(s) when 

it is set. See also: http://razor.bindview.com/publish/papers/signals.txt 

File: Lighttpd-1.4.28/src/server.c Line:150[9] signal(SIGTTOU, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:153[9] signal(SIGTTIN, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:156[9] signal(SIGTSTP, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:162[9] signal(SIGHUP, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:1012[9] signal(SIGPIPE, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:1013[9] signal(SIGUSR1, 

SIG_IGN); 

File: Lighttpd-1.4.28/src/server.c Line:1014[9] 

signal(SIGALRM, signal_handler); 

File: Lighttpd-1.4.28/src/server.c Line:1015[9] signal(SIGTERM, 

signal_handler); 

File: Lighttpd-1.4.28/src/server.c Line:1016[9] signal(SIGHUP, 


File: Lighttpd-1.4.28/src/server.c Line:1017[9] signal(SIGCHLD, 


File: Lighttpd-1.4.28/src/server.c Line:1018[9] signal(SIGINT, 


File: Lighttpd-1.4.28/src/server.c Line:1022[9] signal(SIGALRM, 



signal(SIGTTOU, SIG_DFL); 


signal(SIGTTIN, SIG_DFL); 


signal(SIGTSTP, SIG_DFL); 


signal(SIGHUP, SIG_DFL); 


signal(SIGPIPE, SIG_DFL); 


signal(SIGUSR1, SIG_DFL);

File: Lighttpd-1.4.28/src/mod_scgi.c Line:337[9] signal(SIGTTOU, 

SIG_DFL); 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:340[9] signal(SIGTTIN, 

SIG_DFL); 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:343[9] signal(SIGTSTP, 

SIG_DFL); 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:345[9] signal(SIGHUP, 

SIG_DFL); 

File: Lighttpd-1.4.28/src/mod_scgi.c Line:346[9] signal(SIGPIPE, 

SIG_DFL); 


signal(SIGUSR1, SIG_DFL); 


Issue: stat 

A potential TOCTOU (Time Of Check, Time Of Use) vulnerability exists. This is the 

first line where a check has occured. The following line(s) contain uses that may match 

up with this check: 661 (open) , 680 (open) File: Lighttpd-1.4.28/src/server.c 

Line:669[34] 

if (0 != stat(srv->srvconf.pid_file->ptr, &st)) { 


Issue: stat 



up with this check: 128 (opendir) 

File: Lighttpd-1.4.28/src/mod_cml_funcs.c Line:86[19] 

if (-1 == stat(lua_tostring(L, 1), &st)) { 


Issue: stat 



up with this check: 678 (opendir) 


if (stat(path, &st) != 0) 


Issue: kill 

Avoid constructing the list of process ids to kill with any strings that contain user inputted 

data. Users may be able to manipulate the pid values in such a way as to cause arbitrary 

signals to be sent to processes, possibly leading to exploits or DoS attacks. 

File: Lighttpd-1.4.28/tests/LightyTest.pm Line:76[17] kill('TERM', 

$pid) or return -1; 


kill('TERM', $child); 


kill(2, $pid); 

Severity: Medium

Issue: bind 

The second argument specifiying the packed address to bind to, should not be derived 

from user input. If the address is derived from user input, it is possible for a malicious 

user to cause the socket to be bound to an address of their choice. File: Lighttpd- 

1.4.28/tests/LightyTest.pm Line:383[17] 

bind(SOCK, sockaddr_in($port, $iaddr)) || die "bind: $!"; 


Issue: stat 



up with this check: 33 (open) 

File: Lighttpd-1.4.28/src/stream.c Line:26[19] 

if (-1 == stat(fn->ptr, &st)) { 


Issue: stat 



up with this check: 497 (open) 

File: Lighttpd-1.4.28/src/stat_cache.c Line:484[19] 

if (-1 == stat(name->ptr, &st)) { 


Issue: stat 



up with this check: 613 (rmdir) 


if (-1 == stat(d.path->ptr, &st)) { 


Issue: stat 



up with this check: 1399 (opendir) , 1510 (mkdir) , 1579 (rmdir) , 1594 

(unlink) , 1668 (open) , 1692 (open) , 1694 (open) 


if (-1 == stat(con->physical.path->ptr, &st)) { 


Issue: stat 

A potential TOCTOU (Time Of Check, Time Of Use) vulnerability exists. This is the first 

line where a check has occured. The following line(s) contain uses that may 

match up with this check: 1906 (mkdir) , 1916 (unlink) , 1917 (mkdir) File: 

Lighttpd-1.4.28/src/mod_webdav.c Line:1905[35] 

if (-1 == stat(p->physical.path->ptr, &st)) { 


Issue: stat



up with this check: 1934 (rmdir) 


if (-1 == stat(con->physical.path->ptr, &st)) { 


Issue: ERR_error_string 

Use ERR_error_string_n() instead 

File: Lighttpd-1.4.28/src/network_openssl.c Line:102[73] 

ERR_error_string(err, NULL)); 







File: Lighttpd-1.4.28/src/connections.c Line:266[52] r, 

ERR_error_string(ssl_err, NULL)); 


r, ERR_error_string(ssl_err, NULL)); 


ERR_error_string(ERR_get_error(), NULL)); 










Issue: read 

Check buffer boundaries if calling this function in a loop and make sure you are not in 

danger of writing past the allocated space. 


if (-1 == (toSend = read(ifd, local_send_buffer, toSend))) 

{ File: Lighttpd-1.4.28/src/connections.c Line:363[15] 

len = read(con->fd, b->ptr + read_offset, b->size - 1 - read_offset); 


len = read(con->fd, buf, sizeof(buf)); 


len = read(con->fd, buf, sizeof(buf)); 


if ((r = read(from_exec_fds[0], b->ptr, b->size - 1)) < 0) {


Issue: read 




if (-1 == (n = read(hctx->fd, hctx->response->ptr, hctx->response->size - 1))) { 

File: Lighttpd-1.4.28/src/mod_rrdtool.c Line:217[23] 

res = read(fd, buf, count); 


Issue: read 



File: Lighttpd-1.4.28/src/proc_open.c Line:282[26] if ((s = 

read(fd, (void *)(b->ptr + b->used), 512 - 1)) tmp_buf->ptr, toSend))) { File: 

Lighttpd-1.4.28/src/mod_cgi.c Line:346[32] 

if (-1 == (n = read(hctx->fd, hctx->response->ptr, hctx->response->size - 1))) 

{ 


Issue: read 



File: Lighttpd-1.4.28/src/mod_fastcgi.c Line:2546[32] if 

(-1 == (r = read(hctx->fd, b->ptr, toread))) { 

File: Lighttpd-1.4.28/src/mod_proxy.c Line:678[32] 

if (-1 == (r = read(hctx->fd, hctx->response->ptr + hctx->response->used - 1, b))) 

{ 


Issue: crypt 

Standard random number generators should not be used to generate randomness used 

for security reasons. For security sensitive randomness a crytographic randomness 

generator that provides sufficient entropy should be used. File: Lighttpd- 

1.4.28/src/http_auth.c Line:680[27] 

crypted = crypt(pw, salt); 


Issue: ERR_error_string 

Use ERR_error_string_n() instead 






ERR_error_string(ERR_get_error(), NULL), s->ssl_ca_file);


ERR_error_string(ERR_get_error(), NULL), s->ssl_ca_file); 




ERR_error_string(ERR_get_error(), NULL), s->ssl_pemfile); 


ERR_error_string(ERR_get_error(), NULL), s->ssl_pemfile); 


ERR_error_string(ERR_get_error(), NULL), 

Inputs detected at the following points 

Total lines analyzed: 54350 

Total time 0.073244 seconds 

742040 lines per second

开放源代码软件JQuery 成熟度评估报告 - 开源中国社区- 软件镜像下载

Create successful ePaper yourself

Delete template?

Save as template?