Fortify扫描Qt项目
Fortify对于C++类型的代码扫描需要结合编译指令实现,但Fortify支持的C++指令并不多,所以有些类似使用Qt工具开发的项目就需要做一定调整来适配Foritfy的扫描。使用gcc或者cl级别的命令来实现会很麻烦,因为需要对于Qt的qmake工具运行逻辑有一定深入分析,熟知其生成的Makefile以来的环境和make工具,难度较大,所以更建议以Visual Studio的Fortify插件为入口,先将Qt项目转成Visual Studio项目,再使用插件扫描,这样就会容易很多。
我们简单介绍一下流程:
1、在Visual Studio中安装Qt Visual Studio Tools插件和Fortify插件。
2、在Qt插件的Qt Opt选项中配置编译套件,该套件位置可以在Qt对应版本下面,比如Qt\Qt5.12.8\5.12.8\msvc2017。
3、使用Qt插件的Open Qt Project File (.pro)...打开对应的Qt项目,并使用插件的Convert custom build steps to Qt/MSBuild选项,将项目转成vs项目,并生成对应的.vcsproj文件。
测试能成功运行后,就可以使用Fortify进行扫描了。步骤类似与上面的Android项目,即可生成对应的fpr文件。另外,如果想要使用命令来自动化的进行项目扫描,但不知道一个类型的项目如何进行适配,可以解压使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.mand属性内容,里面包含了该项目生成扫描中间文件的指令参数,可以参考了解如何配置自动化的扫描平台。
Fortify安装使用简易教程
Fortify SCA是一个静态源代码安全测试工具。它通过内置的五大主要分析引擎对源代码进行静态的分析和检测,分析的过程中与其特有的软件安全漏洞规则集进行地匹配、查找。
好安装包后,双击安装应用程序
点击Next进行下一步
接受协议,点击Next
选择安装位置或者默认位置,点击Next
勾选你要安装的插件,点击Next下一步
选择\cense,点击下一步
选择更新服务器,这里可以不用填写
Fortify SCA卸载(二)
根据的操作系统,键入以下命令之一:
Windows Uninstall_FortifySCAandApps_.exe --mode unattended
Unix or Linux ./n --mode unattended
macOS Uninstall_FortifySCAandApps_.app/Contents/MacOS/
–mode unattended
注意:卸载程序会删除与要卸载的Fortify Static Code Analyzer版本相关联的应用程序设置文件夹。
Uninstalling Fortify Static Code Analyzer and Applicati0ns in Text-Based Mode on Non-Windows Platforms
要以文本模式卸载Fortify静态代码分析器,请运行操作系统的文本安装命令,如下所示:
导航到安装目录。
根据操作系统,键入以下命令之一:
Unix or Linux
./n --mode text
macOS
Uninstall_FortifySCAandApps_.app/Contents/MacOS/ --mode text
以上信息由专业从事源代码审计工具fortify扫描的华克斯于2024/6/27 6:31:57发布
转载请注明来源:http://m.tz1288.com/qynews/hksxxkj-2776433683.html