代码审计是使用静态分析发现源代码中安全缺陷的方法，能够辅助开发或测试人员在软件上线前较为全面地了解其安全问题，防患于未然，因此一直以来都是学术界和产业界研究的热点，并且已经成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。

360代码卫士团队基于自主研发的国内首款源代码安全检测商用工具，以及十余年漏洞技术研究的积累，推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷，结合实例和工具使用进行详细介绍，旨在为广大开发和安全人员提供代码审计的基础性标准化教程。

1、资源未释放：流

代码质量作为软件产品的非功能性质量是衡量软件产品的一项隐性指标。重复的代码会造成维护成本的增加，不规范的代码、不良注释和复杂度过高的代码会增加阅读和理解代码的难度。代码质量重视代码细节，例如常见的使用常量调用equals()，过大的内存分配，循环创建对象引用，流资源、数据库连接、同步锁资源未释放等。其中“资源未释放：流”是指程序创建或分配流资源后，不进行合理释放。尤其是多次创建资源未释放会占用系统开销，影响程序性能。本篇文章以 JAVA 语言源代码为例，分析“资源未释放：流”产生的原因以及修复方法。 详细请参见CWE ID 404：Improper Resource Shutdown or Release (http://cwe.mitre.org/data/definitions/404.html)。

2、 “资源未释放：流” 的危害

攻击者可能会通过耗尽资源池的方式发起拒绝服务攻击。

从2018年1月至12月，CVE中共有2条漏洞信息与其相关。部分漏洞如下：

3、示例代码

示例源于 SamateJuliet Test Suite for Java v1.3 (https://samate.nist.gov/SARD/testsuite.php)，源文件名：CWE404_Improper_Resource_Shutdown__FileReader_01.java。

3.1缺陷代码

上述示例代码操作是一个读取文件的操作，从本地读取文件，并将读取到文本行进行输出，在代码行第39行和第51行中，readerBuffered 和 readerFile进行了关闭操作。虽然代码明显对使用的资源进行了关闭操作，但是在35行之前当代码抛出异常时，代码直接执行59行之后处理异常，则跳过关闭操作，未成功释放资源。

使用360代码卫士对上述示例代码进行检测，可以检出“资源未释放：流”缺陷，显示等级为中。在代码行第29行报出缺陷，如图1所示：

图1：“资源未释放：流”的检测示例

3.2 修复代码

在上述修复代码中，使用 finally 块中对readerBuffered 和 readerFile 进行关闭操作。即使在34行之前的代码抛出异常，在 finally 代码块中的语句也会正常执行，这样就保证了创建的资源可以正常释放。

360代码卫士对修复后的代码进行检测，可以看到已不存在“资源未释放：流”缺陷。如图2：

图2：修复后检测结果

4 、如何避免资源未释放：流

要避免"资源未释放：流"，需要注意以下几点：

（1）在 finally 代码块中对流资源进行了合理的释放

（2）使用源代码静态分析工具，进行自动化的检测，可以有效的发现源代码中的“资源未释放：流”问题。

关联阅读

【缺陷周话】第 15 期 — 资源未释放：文件

【缺陷周话】第 14 期 ：HTTP 响应截断

【缺陷周话】第 13期 ：二次释放

【缺陷周话】第 12期 ：存储型 XSS

【缺陷周话】第 11期 ：释放后使用

【缺陷周话】第 10 期 ：反射型 XSS

【缺陷周话】第 9 期 ：缓冲区下溢

【缺陷周话】第 8 期 ：路径遍历

【缺陷周话】第 7 期 ：缓冲区上溢

【缺陷周话】第 6 期 ：命令注入

【缺陷周话】第5期 ：越界访问

【缺陷周话】第4期 ：XML 外部实体注入

【缺陷周话】第3期 ：内存泄漏

【缺陷周话】第 2 期 ：SQL 注入

【缺陷周话】第1期 ：空指针解引用