源代码扫描工具fortify采购-华克斯

Fortify代码扫描使用教程

1、进入Fortify安装目录，再进入bin目录，双击d启动程序

2、打开扫描窗口，点击Scan Java Project

3、选择要扫描的项目目录，点击确定按钮

4、弹出java代码版本选择窗口，选择版本后，点击OK

5、弹出审计向导窗口，点击Scan按钮开始扫描

6、扫描开始，等待扫描结束，等待时间根据项目大小而定，可能时间会很长

7、扫描结束后，显示扫描结果。

一、 Fortify SCA概述

1、Source Code Analysis 阶段概述

Audit Workbench 会启动 Fortify SCA“Scanning（扫描）”向导来扫描和分析源代码。该向导整合了以下几个分析阶段：

转换：使用源代码创建中间文件，源代码与一个 Build ID相关联，Build ID通常就是项目名称。

扫描与分析：扫描中间文件，源代码检测工具fortify采购，分析代码，并将结果写入一个Fortify Project Results(FPR)文件。

校验：确保所有源文件均包含在扫描过程中，源代码检测工具fortify采购，使用的是正确的规则包，且没有报告重大错误。

2、安全编码规则包概述

安全编码规则包是 Fortify Software 安全研究小组多年软件安全经验的体现，并且经过其不断努力改进而成。这些规则是通过对编码理论和常用编码实践的研究，而取得的软件安全知识的巨大积累，并且在 Fortify Software 安全研究小组的努力下不断扩展和改进。每个安全编码规则包均包含大量的规则，每个规则定义了一个被 source code analysis 检测出的特定异常行为。

一旦检测出安全问题，安全编码规则包会提供有关问题的信息，让开发人员能够计划并实施修复工作，这样比研究问题的安全细节更为有效。这些信息包括关于问题类别的具体信息、该问题会如何者利用，以及开发人员如何确保代码不受此漏洞的威胁。

安全编码规则包支持多种编程语言，也支持各种经过扩展的第三方库和配置文件。

有关当前安全编码规则包的信息，请参见《安全编码规则包参考》。

Fortify扫描Android项目

使用插件扫描是一个比较推荐的方式，因为操作简单，且环境可靠不需要重新配置。

首先肯定是获取插件，我们需要从安装Fortify开始。如果已经安装了也不要紧，直接点击安装到原有目录即可，Fortify会自动适配的。安装步骤基本都使用默认选项，但是在选择组件的环节，西南fortify采购，我们要记得勾选上我们需要的插件。

上图中红框是给Android Studio使用的插件，是本小节需要使用到的。第二个红框则是一个Visual Studio的插件，后面会用到，这里可以先勾选一下(但要记得Visual Studio的插件只能在Visual Studio已存在时安装，版本也不要选错)。安装后，可以在Fortify安装目录下的plugins﹨IntelliJAnalysis目录中找到我们需要的插件。

然后是第二步，将插件安装到Android Studio上。在Android Studio中打开插件的界面，选择设置的图标，然后选择Install Plugin from Disk...选项，选中前面说到的插件文件。然后重启Android Studio即可生效。

生效后我们可以在Android Studio的标题栏中找到Fortify选项，在Fortify->Analysis Settings...选项中，我们可以配置该插件扫描源码的规则和配置。

蕞后，我们点击Fortify->Analyze Project选项，即可扫描项目并在项目的根目录生成fpr文件