Fortify代(dai)碼掃描使用教程

1、進入Fortify安(an)裝目錄，再進入bin目錄，雙擊d啟動程(cheng)序(xu)

2、打開掃描(miao)窗口，源代碼審(shen)計工具fortify版本(ben)，點擊Scan Java Project

3、選(xuan)擇要(yao)掃描的項目目錄(lu)，點擊確定(ding)按鈕

4、彈出java代碼版(ban)本選擇(ze)窗口，選擇(ze)版(ban)本后，黑(hei)龍江源代碼審計工(gong)具fortify，點(dian)擊OK

5、彈出審(shen)計向導窗(chuang)口，點(dian)擊Scan按鈕開始(shi)掃描

6、掃描開(kai)始(shi)，等(deng)待掃描結束，等(deng)待時間根據項目大(da)小而定(ding)，可能時間會很長

7、掃(sao)描(miao)結束(shu)后，顯示掃(sao)描(miao)結果(guo)。

Fortify SCA規則定義(yi)

Fortify sca主要對中間(jian)代(dai)碼(ma)進行了數據流分(fen)析(xi)、控制流分(fen)析(xi)、代(dai)碼(ma)結構(gou)分(fen)析(xi)、內容(rong)和配置文件分(fen)析(xi)。1.新(xin)建規則這里以(yi)fortify安(an)裝目錄下自(zi)帶(dai)的php示(shi)例代(dai)碼(ma)(Samples﹨basic﹨php)為例:

我(wo)們(men)在缺陷代碼(ma)基礎上增加了validate函數(shu)去做(zuo)安全(quan)凈化處理，fortify sca不能識(shi)別這個函數(shu)的作用。

在函(han)數上右鍵點擊彈出write rules for this function，我們接(jie)下(xia)來(lai)通過圖(tu)形界面創建數據流跟蹤的凈化規則(ze)

再次掃描后我們(men)(men)發現fortify sca已經可以識(shi)別(bie)我們(men)(men)自(zi)定義(yi)的validate函數

另外新建規則還可以使(shi)用(yong)fortify自(zi)帶的(de)自(zi)定義(yi)用(yong)戶規則向導，源代碼審計(ji)工具(ju)fortify一(yi)年多少(shao)錢，可以通過圖形化方式配置(zhi)40多種規則類(lei)型。當然如果還有更高的(de)規則定制要求(qiu)，就在向導生成(cheng)的(de)xml基礎(chu)上(shang)進一(yi)步更新吧(ba)。

Fortify編寫自定義規則原理(li)

要編(bian)寫(xie)有效的(de)(de)(de)自定義(yi)規(gui)(gui)(gui)則，就必須(xu)(xu)熟悉(xi)一(yi)直的(de)(de)(de)安全(quan)(quan)漏(lou)洞(dong)類(lei)別(bie)和通(tong)常與他們相關(guan)(guan)的(de)(de)(de)函(han)數(shu)類(lei)型(xing)。深(shen)入理解各類(lei)經(jing)常出現在特定類(lei)型(xing)漏(lou)洞(dong)的(de)(de)(de)函(han)數(shu)，有利于(yu)在編(bian)寫(xie)自定義(yi)規(gui)(gui)(gui)則過程中能夠準確地找到與安全(quan)(quan)相關(guan)(guan)的(de)(de)(de)函(han)數(shu)。任何一(yi)門語(yu)言，都有其龐大的(de)(de)(de)開(kai)源(yuan)框架和lib庫。所以(yi)自定義(yi)規(gui)(gui)(gui)則，既要精通(tong)安全(quan)(quan)漏(lou)洞(dong)原(yuan)理，又要熟練掌握一(yi)門或幾門開(kai)發(fa)語(yu)言，一(yi)般自定義(yi)規(gui)(gui)(gui)則用的(de)(de)(de)比較(jiao)多的(de)(de)(de)語(yu)言有java、C/C++、PHP等。其次(ci)必須(xu)(xu)識(shi)別(bie)與安全(quan)(quan)相關(guan)(guan)的(de)(de)(de)函(han)數(shu)，并(bing)熟悉(xi)這(zhe)些函(han)數(shu)的(de)(de)(de)特性(xing)以(yi)此來確定能夠體(ti)(ti)現各個函(han)數(shu)具體(ti)(ti)行為和與之(zhi)相關(guan)(guan)的(de)(de)(de)漏(lou)洞(dong)類(lei)別(bie)的(de)(de)(de)正(zheng)確規(gui)(gui)(gui)則形式。一(yi)旦確定好了這(zhe)種(zhong)聯系，使用自定義(yi)規(gui)(gui)(gui)則編(bian)輯器來創建規(gui)(gui)(gui)則就相對簡單了。

源代碼審計工具fortify總代理-蘇州華克斯由蘇州華克斯信息科技有限公司提供。蘇州華克斯信息科技有限公司為客戶提供“Loadrunner,Fortify,源代碼審計,源代碼掃描”等業務，公司擁有“Loadrunner,Fortify,Webinspect”等品牌，專注于行業軟件等行業。，在蘇州工業園區新平街388號的名聲不錯。歡迎來電垂詢，聯系人：華克斯。