[开发工具]codeql 代码审计

刚刚把环境搭建好了。。。搭建环境永远是最讨厌的一步

如果你只是想看看codeql运行起来有什么效果 ，怎么运行，大概怎么使用。那么我建议你打开这个公共课程

CodeQL U-Boot Challenge (C/C++) | GitHub Learning LabLearn to use CodeQL, a query language that helps find bugs in source code. Find 9 remote code execution vulnerabilities in the open-source project Das U-Boot, and join the growing community of security researchers using CodeQL.https://lab.github.com/githubtraining/codeql-u-boot-challenge-(cc++)只要有github账号就可以开始学习了，它会一步步带你做完这个过程的。

我今天大概就做了以下几步。（全程在ubuntu上 ）

1.安装vscode vscode直接下载安装很慢，需要修改下载前缀 下载完使用命令行解压 打开vscode命令是code

2.下载codeql命令行（对应linux版本） 下载起来也是慢的要死，然后找第三方网站下载成功。

?? 下载完成以后解压然后将路径添加到PATH里 然后命令行使用codeql能不能用

3.下载codeql库

4.下载codeql u-boot这个项目和它的数据库（已经经过codeql数据库） （git clone很慢的话就直接下载.zip吧）

5.打开vscode 下载codeql插件 下载好以后 把codeql cli 路径填进去（可执行文件路径）。然后把codeql库导入，然后把codeql u-boot添加到workpalce (add folder to workplace)

6.添加u-boot已经编译好的数据库

7.可以使用查询了 并且显示查询结果

如图所示 这就是经过codeql查询以后显示的 u-boot项目漏洞和污点追踪流程

如果不明白可以看:CodeQL 环境搭建 - 简书

下面这些链接如果错了也很正常。。。。。反正我成功了。

命令行codeql:GitHub - github/codeql-cli-binaries: Binaries for the CodeQL CLI

codeql库：https://github.com/github/codeql

uboot数据库:https://downloads.lgtm.com/snapshots/cpp/uboot/u-boot_u-boot_cpp-srcVersion_d0d07ba86afc8074d79e436b1ba4478fa0f0c1b5-dist_odasa-2019-07-25-linux64.zip

uboot项目:https://codeload.github.com/AlphaGir/codeql-uboot/zip/refs/heads/main

vscode：http://vscode.cdn.azure.cn/stable/7f6ab5485bbc008386c4386d08766667e155244e/code_1.60.2-1632313585_amd64.debhttp://vscode.cdn.azure.cn/stable/7f6ab5485bbc008386c4386d08766667e155244e/code_1.60.2-1632313585_amd64.deb

反正我明白了，他们说的那个vscode-starter其实可以不用管，codeql自己就有库可以直接下载用

codeql 使用过程 首先利用codeql编译源码 生成一个数据库 ->自己写查询语句利用codeql库进行查询->得出查询结果