Fortify SCA 的工作原理：
Foritfy SCA 首先通过调用语言的编译器或者解释器把前端的语言 代码（如 JAVA，C/C++源代码）转换成一种中间媒体文件 NST（Normal Syntax Tree）将其源代码之间的调用关系，执行环境，上下文等分析 清楚。然后再通过上述的五大分析引擎从五个切面来分析这个 NST， 匹配所有规则库中的漏洞特征，一旦发现漏洞就抓取出来。形成 包含详细漏洞信息的 FPR 结果文件，用 AWB 打开查看。
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?
强化针对JSSE API的SCA自定义规则滥用
我们的贡献：强制性的SCA规则
为了检测上述不安全的用法，我们在HP Fortify SCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和Apache HTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。
超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，并且它总是返回'true'。
<谓词>
<！[CDATA [
函数f：f.name是“verify”和f.pers
包含[Class：name ==“.nameVerifier”]和
f.parameters [0] .是“ng.String”和
f.parameters [1] .是“.ssl.SSLSession”和
f.是“boolean”，f包含
[ReturnStatement r：r.expression.ctantValue matches“true”]
]]>
</谓词>
过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。
<谓词>
<！[CDATA [
函数f：f.name是“checkServerTrusted”和
f.parameters [0] .是“curity.cert.X509Certificate”
和f.parameters [1] .是“ng.String”和
f.是“void”而不是f包含[ThrowStatement t：
t.expression.pers包含[Class：name ==
“（curity.cert.CertificateException | curity.cert.CertificateException）”]
]]>
</谓词>
缺少主机名验证：当代码使用低级SSLSocket API并且未设置HostnameVerifier时，将触发该规则。
经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnection API并且它设置自定义主机名验证器时，该规则被触发。
经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnection API并且它设置自定义SSLSocketFactory时，该规则被触发。
我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。
规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL / TLS使用。
https:///GDSSecurity/JSSE_Fortify_SCA_Rules
AuthorAndrea Scaduto |评论关闭|分享文章分享文章
标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则
Fortify软件
Fortify g
类型
前独立软件厂商
行业计算机软件
类型软件
公司成立2003
Kleiner创始人Ted Schlein，Perkins，Caufield＆Byers，Mike Armistead，Brian Chess，Arthur Do，Roger Thornton
总部圣马特奥，源代码审计工具fortify价格表，加利福尼亚州，美国
关键人物
约翰·杰克（前执行官），雅各布·西（安全研究小组组长），布莱恩·国际象棋（前科学家），亚瑟·杜（前总裁）
业主Hewlett Packard Company
网站
HP软件安全网页和
HP Fortify软件安全中心服务器
Fortify软件，后来被称为Fortify Inc.，是一家位于加利福尼亚州的软件安全供应商，成立于2003年，由惠普在2010年收购[1]，成为惠普企业安全产品的一部分[2] [3]
2010年9月7日，HPE执行官梅格·惠特曼（Meg Whitman）宣布，包括Fortify在内的Hewlett Packard Enterprise的软件资产将与Micro Focus合并，以创建一个独立的公司，惠普企业股东将保留多数所有权。微焦点执行官凯文·洛西莫尔（Kevin Loosemore）称这项交易“完全符合我们既定的收购策略，并将重点放在成熟基础设施产品的有效管理上”，并表示Micro Focus旨在“为成熟资产带来盈利空间 - 约80百分之一 - 从今天的百分之二十一微科技在三年内现有的46％的水平。“[4]
技术咨询weiyuanhui
Fortify的技术咨询weiyuanhui由Avi Rubin，Bill Joy，David A. Wagner，fortify价格表，Fred Schneider，Gary McGraw，Greg Morrisett，Li Gong，Marcus Ranum，Matt Bishop，William Pugh和John Viega组成。
安全研究
除了Fortify的分析软件的安全规则外，Fortify还创建了一个维护Java Open Review项目[5]和Vulncat安全漏洞分类的安全研究小组。[6]小组成员写了这本书，源代码审计工具fortify价格表，安全编码与静态分析，并发表了研究，包括JavaScript劫持，[7]攻击构建：交叉构建注入，[8]观察你写的：通过观察程序输出来防止跨站点脚本[9]和动态趋势传播：找不到攻击的脆弱性[10]
fortify价格表-华克斯由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司在行业软件这一领域倾注了诸多的热忱和热情，华克斯一直以客户为中心、为客户创造价值的理念、以品质、服务来赢得市场，衷心希望能与社会各界合作，共创成功，共创辉煌。相关业务欢迎垂询，联系人：华克斯。
