Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?
强化针对JSSE API的SCA自定义规则滥用
我们的贡献：强制性的SCA规则
为了检测上述不安全的用法，我们在HP Fortify SCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和Apache HTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。
超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，源代码扫描工具fortify sca价格，并且它总是返回"true"。
<谓词>
<！[CDATA [
函数f：f.name是“verify”和f.enclosingClass.supers
包含[Class：name ==“javax.net.ssl.HostnameVerifier”]和
f.parameters [0] .type.name是“java.lang.String”和
f.parameters [1] .type.name是“javax.net.ssl.SSLSession”和
f.returnType.name是“boolean”，f包含
[ReturnStatement r：r.expression.ctantValue matches“true”]
]]>
过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。
<谓词>
<！[CDATA [
函数f：f.name是“checkServerTrusted”和
f.parameters [0] .type.name是“java.security.cert.X509Certificate”
和f.parameters [1] .type.name是“java.lang.String”和
f.returnType.name是“void”而不是f包含[ThrowStatement t：
t.expression.type.definition.supers包含[Class：name ==
“（javax.security.cert.CertificateException | java.security.cert.CertificateException）”]
]]>
缺少主机名验证：当代码使用低级SSLSocket API并且未设置HostnameVerifier时，将触发该规则。
经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnection API并且它设置自定义主机名验证器时，该规则被触发。
经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnection API并且它设置自定义SSLSocketFactory时，该规则被触发。
我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。
规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL / TLS使用。
https://github.com/GDSSecurity/JSSE_Fortify_SCA_Rules
AuthorAndrea Scaduto |评论关闭|分享文章分享文章
标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则
Fortify软件
强化静态代码分析器
使软件更快地生产
HP Fortify静态代码分析器
HP Fortify SCA通过可用的全mian的安全编码规则提供根本原因的漏洞检测，并支持广泛的语言，华东fortify sca价格，平台，构建环境（集成开发环境或IDE）和软件组件API。
进行静态分析，以确定源代码中的安全漏洞的根本原因
检测超过480种类型的软件安全漏洞，涵盖20种开发语言 - 业界。
根据风险严重程度排序优先级结果，并指导如何修复代码行详细信息中的漏洞
确保符合应用程序安全性要求
硬件要求
HP Fortify Software建议您在具有至少1 GB RAM的处理器上安装HP Fortify静态代码分析器（SCA）。
平台和架构
HP Fortify SCA支持以下平台和架构：
操作系统架构版本
Linux x86：32位和64位Fedora Core 7
红帽ES 4，源代码审计工具fortify sca价格，ES5
Novell SUSE 10
Oracle EL 5.2
Windows?x86：32位和64位7 SP1
2017年
win10
Vista业务
Vista Ultimate
Windows 7的
Windows?x86：32位2000
Mac OS x86 10.5，10.6
Oracle Solaris SPARC 8，9，10
86 10
HP-UX PA-RISC 11.11
AIX 5.2 PPC
FreeBSD x86：32位6.3，7.0
FortifySCA介绍
支持对测试结果进行分类或划分，源代码检测工具fortify sca价格，并分发给不同的人进行确认和修复。
·
对工具和安全代码规则可以进行集中配置和管理，使分散在不同地点的测试机统一更新，提高了效率，保证了版本的一致性。
·
支持将测试结果在企业内部进行发布，使开发人员，测试人员，安全人员和管理人员可以通过WEB浏览器进行查看和审计。实现多个部门之间的协同工作，加强对问题的快速反应，提高管理能力，提高工作效率。
·
能够按用户和角色的不同来进行权限的划分，方便企业内各个团队的交流和沟通，同时保证了测试结果的保密性。
华东fortify sca价格-苏州华克斯信息由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司为客户提供“Loadrunner,Fortify,源代码审计,源代码扫描”等业务，公司拥有“Loadrunner,Fortify,Webinspect”等品牌，专注于行业软件等行业。，在苏州工业园区新平街388号的名声不错。欢迎来电垂询，联系人：华克斯。