企业等级: | 商盟会员 |
经营模式: | 商业服务 |
所在地区: | 江苏 苏州 苏州市 |
联系卖家: | 华克斯 先生 |
手机号码: | 13862561363 |
公司官网: | hksxxkj.tz1288.com |
公司地址: | 苏州工业园区新平街388号 |
Fortify软件
强化静态代码分析器
使软件更快地生产
HP Fortify静态代码分析器
HP Fortify SCA通过可用的全mian的安全编码规则提供根本原因的漏洞检测,并支持广泛的语言,平台,构建环境(集成开发环境或IDE)和软件组件API。
进行静态分析,以确定源代码中的安全漏洞的根本原因
检测超过480种类型的软件安全漏洞,涵盖20种开发语言 - 业界。
根据风险严重程度排序优先级结果,并指导如何修复代码行详细信息中的漏洞
确保符合应用程序安全性要求
硬件要求
HP Fortify Software建议您在具有至少1 GB RAM的处理器上安装HP Fortify静态代码分析器(SCA)。
平台和架构
HP Fortify SCA支持以下平台和架构:
操作系统架构版本
Linux x86:32位和64位Fedora Core 7
红帽ES 4,源代码检测工具fortify价格表,ES5
Novell SUSE 10
Oracle EL 5.2
Windows?x86:32位和64位7 SP1
2017年
win10
Vista业务
Vista Ultimate
Windows 7的
Windows?x86:32位2000
Mac OS x86 10.5,10.6
Oracle Solaris SPARC 8,9,10
86 10
HP-UX PA-RISC 11.11
AIX 5.2 PPC
FreeBSD x86:32位6.3,7.0
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?
强化针对JSSE API的SCA自定义规则滥用
允许所有的行动
应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。
Java安全套接字扩展(JSSE)提供两组API来建立安全通信,一个HttpsURLConnection API和一个低级SSLSocket API。
HttpsURLConnection API默认执行主机名验证,再次可以通过覆盖相应的HostnameVerifier类中的verify()方法来禁用(在GitHub上搜索以下代码时,大约有12,800个结果)。
HostnameVerifier allHostsValid = new HostnameVerifier(){
public boolean verify(String hostname,SSLSession session){
返回真
}
};
SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段,仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。
private void checkTrusted(X509Certificate [] chain,String authType,SSLEngine engine,boolean isClient)
throws CertificateException {
...
String identityAlg = engine.getSSLParameters()。
getEndpointIdentificationAlgorithm();
if(identityAlg!= null && identityAlg.length()!= 0){
checkIdentity(session,chain [0],identityAlg,isClient,
getRequestedServerNames(发动机));
}
...
}
当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时,识别算法设置为NULL,因此主机名验证被默认跳过。因此,源代码检测工具fortify价格表,如果攻击者在客户端连接到“”时在网络上具有MITM位置,则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。
这种记录的行为被掩埋在JSSE参考指南中:
“当使用原始SSLSocket和SSLEngine类时,您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭
Fortify软件
强化静态代码分析器
使软件更快地生产
Fortify软件如何工作?
Fortify是用于查找软件代码中的安全漏洞的SCA。我只是好奇这个软件在内部工作。我知道你需要配置一组代码将被运行的规则。但是如何才能在代码中找到漏洞。
有人有什么想法吗?
提前致谢。
强化
任何想法如何适用于iOS应用程序? Fortify是否有任何Mac软件通过我们可以扫描iOS代码Objective-C / Swift代码? -
HP Fortify SCA有6个分析器:数据流,控制流,源代码审计工具fortify价格表,语义,结构,配置和缓冲。每个分析器都会发现不同类型的漏洞。
数据流量此分析仪检测潜在的漏洞,这些漏洞涉及受到潜在危险使用的污染数据(用户控制输入)。数据流分析器使用全局的,程序间的污染传播分析来检测源(用户输入站点)和信宿(危险函数调用或操作)之间的数据流。例如,数据流分析器检测用户控制的长度的输入字符串是否被到静态大小的缓冲区中,并检测用户控制的字符串是否用于构造SQL查询文本。
控制流程此分析仪检测潜在的危险操作序列。通过分析程序中的控制流程,控制流程分析器确定一组操作是否以一定顺序执行。例如,河南fortify价格表,控制流程分析器检测使用时间的检查/时间问题和未初始化的变量,并检查在使用之前是否正确配置了诸如XML读取器之类的实用程序。
结构这可以检测程序的结构或定义中潜在的危险缺陷。例如,结构分析器检测对Java servlet中成员变量的分配,识别未声明为static final的记录器的使用,以及由于总是为false的谓词将永远不会执行的死代码的实例。
华克斯信息-河南fortify价格表由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司在行业软件这一领域倾注了诸多的热忱和热情,华克斯一直以客户为中心、为客户创造价值的理念、以品质、服务来赢得市场,衷心希望能与社会各界合作,共创成功,共创辉煌。相关业务欢迎垂询,联系人:华克斯。苏州华克斯信息科技有限公司 电话:0512-62382981 传真:0512-62382981 联系人:华克斯 13862561363
地址:苏州工业园区新平街388号 主营产品:Loadrunner,Fortify,源代码审计,源代码扫描
Copyright © 2024 版权所有: 天助网 增值电信业务经营许可证:粤B2-20191121
免责声明:以上所展示的信息由企业自行提供,内容的真实性、准确性和合法性由发布企业负责。天助网对此不承担任何保证责任。
您好,欢迎莅临华克斯,欢迎咨询...