Fortify扫描Qt项目
Fortify对于C++类型的代码扫描需要结合编译指令实现,但Fortify支持的C++指令并不多,所以有些类似使用Qt工具开发的项目就需要做一定调整来适配Foritfy的扫描。使用gcc或者cl级别的命令来实现会很麻烦,因为需要对于Qt的qmake工具运行逻辑有一定深入分析,熟知其生成的Makefile以来的环境和make工具,难度较大,所以更建议以Visual Studio的Fortify插件为入口,先将Qt项目转成Visual Studio项目,再使用插件扫描,这样就会容易很多。
我们简单介绍一下流程:
1、在Visual Studio中安装Qt Visual Studio Tools插件和Fortify插件。
2、在Qt插件的Qt Opt选项中配置编译套件,该套件位置可以在Qt对应版本下面,比如Qt\Qt5.12.8\5.12.8\msvc2017。
3、使用Qt插件的Open Qt Project File (.pro)...打开对应的Qt项目,并使用插件的Convert custom build steps to Qt/MSBuild选项,将项目转成vs项目,并生成对应的.vcsproj文件。
测试能成功运行后,就可以使用Fortify进行扫描了。步骤类似与上面的Android项目,即可生成对应的fpr文件。另外,如果想要使用命令来自动化的进行项目扫描,但不知道一个类型的项目如何进行适配,可以解压使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.mand属性内容,里面包含了该项目生成扫描中间文件的指令参数,可以参考了解如何配置自动化的扫描平台。
Fortify内存注意事项
默认情况下,Fortify SCA 蕞多可使用 600 MB 的内存。如果该内存仍不能满足分析某个特定代码库的需要,您可能需要在扫描阶段提供更多的内存。这可以通过在 sourceanalyzer 命令中使用 -Xmx 选项来实现。
例如,要让 Fortify SCA 可用的内存达到 1000 MB ,可在命令中包含 -Xmx1000M 选项。
注意:为 Fortify SCA 分配的内存不应高于计算机本身的可用内存,因为这样会降低性能。指导原则是在没有运行其他内存密集型程序的情况下,分配的内存不能超过 2/3 的可用物理内存。
Fortify SCA扫描功能分析
1、能够跟踪的输入数据,直到该数据被不安全使用的全过程中,分析数据使用中的安全隐患。
2、安全漏洞分析需拥有目前业界和的代码漏洞规则库,能够检测的漏洞类型不少于948种。
3、支持检测业界的代码安全漏洞,工具能够支持检测的漏洞必须依从于的和规范,如OWASP Th 10 2017、 PCI DSS、PCI SSF、GDPR、MISRA、DISA、FISMA、CWE、SANS25等。
4、漏洞扫描规则支持客户自定义,同时需提供友好的图形化的自定义向导和编辑器,自动生成规则脚本。
以上信息由专业从事源代码扫描工具fortify价格的华克斯于2024/6/30 6:40:43发布
转载请注明来源:http://m.tz1288.com/qynews/hksxxkj-2778021454.html
上一条:结构加固施工承诺守信「多图」