Fortify扫描漏洞解决方案

Log Forging漏洞

1.数据从一个不可信赖的数据源进入应用程序。 在这种情况下，数据经由getParameter()到后台。

2. 数据写入到应用程序或系统日志文件中。 这种情况下，数据通过info() 记录下来。为了便于以后的审阅、统计数据收集或调试，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，华南fortify，审阅日志文件可在必要时手动执行，也可以自动执行，源代码审计工具fortify价格，即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息。如果攻击者可以向随后会被逐字记录到日志文件的应用程序提供数据，则可能会妨碍或误导日志文件的解读。的情况是，攻击者可能通过向应用程序提供包括适当字符的输入，在日志文件中插入错误的条目。如果日志文件是自动处理的，那么攻击者可以破坏文件格式或注入意外的字符，从而使文件无法使用。更阴险的攻击可能会导致日志文件中的统计信息发生偏差。通过或其他方式，源代码检测工具fortify代理商，受到破坏的日志文件可用于掩护攻击者的跟踪轨迹，甚至还可以牵连第三方来执行恶意行为。糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理实用程序中的漏洞。

Fortify SCA乱码解决

1：单文件乱码解决方案

可通过Edit下Set Encoding设置。

2：修改Audit Workbench默认编码

找到d文件（D:﹨dev﹨Fortify﹨Fortify_SCA_and_Apps_20.1.1﹨Core﹨private-bin﹨awb﹨d）在蕞后这一行末添加-Dfile.encoding=utf-8，以规定其eclipse.exe默认使用utf-8编码。

备注：d 在 Audit Workbench 的 d 文件内可找到。

3：修改Fortify集成的eclipse默认编码

添加 fortify 的 eclipse 启动参数 -Dfile.encoding=utf-8

Fortify Source Code Analysis Suite是目前在使用为广泛的软件源代码安全扫描，分析和软件安全风险管理软件。该软件多次荣获的软件安全大奖，包括InforWord， Jolt，SC Magazine….目前众多的软件开发企业都在使用该软件方案在他们的开发团队中加速查找软件安全漏洞的效率，监视和管理软件安全的风险.

Fortify SCA源代码安全漏洞的审计功能：

1．安全漏洞扫描结果的汇总和问题优先级别划分功能。

2．安全审计自动导航功能

3．安全问题定位和问题传递过程跟踪功能。

4．安全问题查询和过滤功能。

5．安全问题审计结果、审计类别划分和问题旁注功能。

6．安全问题描述和推荐修复建议。

华南fortify-苏州华克斯公司由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司拥有很好的服务与产品，不断地受到新老用户及业内人士的肯定和信任。我们公司是商盟认证会员，点击页面的商盟客服图标，可以直接与我们客服人员对话，愿我们今后的合作愉快！