请问大家国内有哪些公司或部门是做程序分析、漏洞检测相关的开发或者研究的？
14m3 · 2019-06-29 22:50:30 +08:00 via Android · 3225 次点击这是一个创建于 1972 天前的主题，其中的信息可能已经有所发展或是发生改变。
我目前是研一的学生，方向就是通过程序分析的方法来检测开源软件中的缺陷漏洞，想请问一下 V 友前辈们，有哪些与该方向相关的公司？也为找工作做下准备。
我知道的有源伞科技，Coverity 在中国好像也有部门。不知道像 BAT 这样的互联网公司有相关部门么？
我知道的有源伞科技，Coverity 在中国好像也有部门。不知道像 BAT 这样的互联网公司有相关部门么？
 |
1
hx1997 2019-06-30 02:09:54 +08:00 via Android
借楼问下，如果打扰十分抱歉：研究生想做二进制程序分析方面的，有什么学校推荐吗？
|
 |
2
FindNS 2019-06-30 07:55:39 +08:00  1
华为和阿里有做漏洞挖掘相关的组
|
 |
3
dreamcracker 2019-06-30 11:02:30 +08:00 1
腾讯 科恩实验室 玄武实验室 等等
阿里 阿里安全猎户座实验室 等等 360 360Vulcan 长亭科技 国内顶尖的研究二进制漏洞的团队我所知道的就这些 |
 |
4
14m3 OP 1
@hx1997 就我所了解到的，中科院软件所的苏璞睿老师团队是做二进制程序分析的，他们团队有很好的积淀，有一套基于 QEMU 的程序的基础设施。其他高校的团队了解不深.......
|
|
5
14m3 OP @FindNS
@dreamcracker 感谢回复，确实如您们所说的，阿里和腾讯有很多相关的安全实验室，如 @dreamcracker 说到的腾讯的七个安全实验室，阿里也有猎户座、双子座等等实验室。 但是怎么说呢，其实我想去的是偏程序分析开发的部门和团队，安全实验室还是偏漏洞挖掘和利用，可能我表述的不太好，比如：facebook 有 一套针对 Java, C, C++, and Objective-C 的静态分析工具叫 infer，https://github.com/facebook/infer。google 内部在提交代码时也有类似的工具。 我想做的还是这种静态程序分析工具的开发，类似的工具还有源伞的 pinpoint, Coverity 的静态检测工具, 包括 Clang 的 Clang static analyzer 和 clang-tidy。 请问像 BAT 里面有没有开发类似的静态检测工具的开发团队么 |
|
7
hx1997 2019-06-30 21:58:49 +08:00 via Android
奇安信（原来的 360 企业安全）有做一个代码卫士，不知道是不是楼主要找的那种： https://www.anquanke.com/post/id/176080
|
 |
9
DragonQuestMaou 2019-07-04 18:57:29 +08:00 1
@14m3 需要内推么
|
|
10
14m3 OP @DragonQuestMaou 首先谢谢您。但因为我毕业还有两年，所以明年的这个时候应该会找工作... 现在的话有点早了。
顺便问一下，您所在的公司，有我说的这样的写静态分析工具相关的组么？谢谢 |
|
11
DragonQuestMaou 2019-07-05 09:58:09 +08:00
|
 |
12
langmanxiaoa 2023-08-03 15:36:55 +08:00
老哥现在哪里发展，可内推么？
|
|
13
14m3 OP @langmanxiaoa 现在在字节，可以内推，xumingjie.enna1#bytedance.com 发邮件就可以
|
 |
14
Zzhiter 229 天前
现在我准备问这个问题了，和您的状况一样，也是研一，研究方向也一样，之前听过楼主的 ASAN 原理的分享，但是我个人感觉现在坑不是很多了😭，不知道您有没有什么比较好的见解
|
|
15
14m3 OP 1
@Zzhiter 传统的分析可能机会不是特别多....尤其是现在 LLM 比较火，很多人做基于 LLM 的分析了....
你现在才研一，建议多实习吧，不同的方向都实习看看，比如 AI 编译方向，程序语言方向（比如 moonbit ）， 实习可以了解到不同的方向在公司内做的事情都是什么样的。 一方面真正工作也不一定非要做分析，另一方面工作中项目都是有周期的，不可能一直让你做同一个事情。 |
|
17
Zzhiter 225 天前
@14m3 嗯嗯，感谢您的回复！我是被导师逼迫搞 fuzzing ，一个人闷头学，兴趣并不是很多，但是之前在字节的时候了解到好像 fuzzing 在公司内部的应用场景并不是很多，安全这条路还是不太了解。我现在的想法是学点开发的知识，将来至少能找个开发岗位保个底；除此之外，编译那边的知识（ LLVM 还有多种语言的 IR 层面（ Java 的、Go 的）、JIT 那些）我掌握的还不错，心想这个就当作是读研期间学到的一技之长了，ALL IN 的话，心里还是没底，如果将来工作选择的时候帮上点忙，感觉就已经不错
|
Select Language