苏州华克斯-源代码扫描工具fortify扫描

使用Fortify SCA

1、扫描 Java 项目

“Scan Java Project（扫描 Java 项目）”向导将转换阶段和分析阶段合并为一个简单的步骤。使用此功能可以扫描源那些代码位于单个目录中的小型 Java 项目。

2、扫描其他项目

您可以使用“Advanced Scan（扫描）”向导转换和分析 Java、JavaScript、PHP、ASP、.NET 和 SQL 项目。对于源代码位于多个目录中、具有特殊转换或构建条件，fortify扫描，或包含需要从项目中排除的文件的 Java 项目，应使用“Advanced Scan（扫描）”向导。

C/C++源码扫描系列- Fortify 篇

环境搭建

Linux搭建

解压的压缩包，然后执行 ./Fortify_SCA_and_Apps_19.2.n 按照引导完成安装即可，源代码检测工具fortify扫描，安装完成后进入目录执行sourceanalyzer来查看是否安装完成

然后将 rules 和 ExternalMetadata 拷贝到对应的目录中完成规则的安装。

Fortify的工作原理和codeql类似，首先会需要使用Fortify对目标源码进行分析提取源代码中的信息，源代码检测工具fortify扫描，然后使用规则从源码信息中查询出匹配的代码。

Fortify SCA 扫描

Fortify SCA 的结果文件为.FPR文件，包括详细的漏洞信息：漏洞分类，漏洞产生的全路径，漏洞所在的源代码行，漏洞的详细说明及修复建议等。

1、首先清除上一次扫描的缓存：

sourceanalyzer -b SCG-AuthCenter -clean

2、扫描、编译源码，需要执行依赖的jar包文件和源文件：

sourceanalyzer -encoding UTF-8 -Xmx1024M -b  DMC  -cp 'D:/code/cct/DMC/src/main/webapp/WEB-INF/lib/**/*.jar' -source 1.6 'D:/code/cct/DMC/src/main/java/**/*.java'

3、生成fpr文件：

4、生成pdf文件：