华克斯信息-华中源代码检测工具fortify

进行安全扫描_Fortify Sca自定义扫描规则

前言代码安全扫描是指在不执行代码的情况下对代码进行评估的过程。代码安全扫描工具能够探查大量“if——then——”的假想情况，而不必为所有这些假想情况经过必要的计算来执行这些代码。

那么代码安全扫描工具到底应该怎么使用？以下是参考fortify sca的作者给出的使用场景：

常规安全问题(如代码注入类漏洞)这块，目前的fortify sca规则存在较多误报，华中源代码检测工具fortify，通过规则优化降低误报。而在特定安全问题上，越来越多的合规要求需要满足(如等保、国信办、银保监要求)，自带的扫描规则肯定检测不到这些问题，需要自定义扫描规则，源代码检测工具fortify版本，从合规的角度来展示安全风险。常规安全问题误报优化目前开发人员反馈蕞多的问题是：代码安全扫描工具误报较多，我们先看下代码安全安全分析的过程，如下图示：

Fortify SCA卸载（二）

根据的操作系统，键入以下命令之一:

Windows Uninstall_FortifySCAandApps_.exe --mode unattended

Unix or Linux ./Uninstall_FortifySCAandApps_.run --mode unattended

macOS Uninstall_FortifySCAandApps_.app/Contents/MacOS/installbuilder.sh

–mode unattended

注意:卸载程序会删除与要卸载的Fortify Static Code Analyzer版本相关联的应用程序设置文件夹。

Uninstalling Fortify Static Code Analyzer and Applicati0ns in Text-Based Mode on Non-Windows Platforms

要以文本模式卸载Fortify静态代码分析器，请运行操作系统的文本安装命令，如下所示:

导航到安装目录。

根据操作系统，源代码检测工具fortify 价格，键入以下命令之一:

Unix or Linux

./Uninstall_FortifySCAandApps_.run --mode text

macOS

Uninstall_FortifySCAandApps_.app/Contents/MacOS/installbuilder.sh --mode text

Fortify SCA 扫描

Fortify SCA 的结果文件为.FPR文件，包括详细的漏洞信息：漏洞分类，漏洞产生的全路径，源代码检测工具fortify哪里有卖，漏洞所在的源代码行，漏洞的详细说明及修复建议等。

1、首先清除上一次扫描的缓存：

sourceanalyzer -b SCG-AuthCenter -clean

2、扫描、编译源码，需要执行依赖的jar包文件和源文件：

sourceanalyzer -encoding UTF-8 -Xmx1024M -b  DMC  -cp "D:/code/cct/DMC/src/main/webapp/WEB-INF/lib/**/*.jar" -source 1.6 "D:/code/cct/DMC/src/main/java/**/*.java"

3、生成fpr文件：

4、生成pdf文件：

华克斯信息-华中源代码检测工具fortify由苏州华克斯信息科技有限公司提供。“Loadrunner,Fortify,源代码审计,源代码扫描”选择苏州华克斯信息科技有限公司，公司位于：苏州工业园区新平街388号，多年来，华克斯坚持为客户提供好的服务，联系人：华克斯。欢迎广大新老客户来电，来函，亲临指导，洽谈业务。华克斯期待成为您的长期合作伙伴！