如何解决过程控制类型的checkmarx问题？

Question

我正在开发一个 VC++ MFC 项目。现在它使用 checkmarx 扫描。它在报告中显示了一个过程控制问题，如下所示。

Host Tools/ICC/_DEV/ICC.CPlusPlus/globalProcess.cpp第134行的方法delayHook加载一个库，其名称或位置受“Test.dll”元素中客户端输入的影响。然后，该元素的值在 Host Tools/ICC/_DEV/ICC.CPlusPlus/globalProcess.cpp 第 134 行的 DelayHook 中流经代码，而无需经过正确验证。从不受信任的源或不受信任的环境中执行命令或加载库可能会导致应用程序执行恶意命令。

这是导致问题的代码。

FARPROC hMod = (FARPROC)LoadLibrary ("Test.dll"); 任何人都可以帮我解决这个 checkmarx 项目吗？由于我是VC++新手，所以理解不正确。

Answer 1

如果您想将搜索限制在 system32 目录中，因为它是一个 Windows dll，您可以使用 loadlibraryex:

HINSTANCE dnsDllHandle = LoadLibraryEx("Test.dll", nullptr, LOAD_LIBRARY_SEARCH_SYSTEM32);