苏州华克斯公司-源代码审计工具fortify采购

Fortify “Source Code Viewer（源代码查看器）”面板：

“Source Code Viewer（源代码查看器）”面板显示了与在“Issues（问题）”面板中选择的问题相关联的代码段。如果“Analysis Trace（分析跟踪）”面板中的多个节点代表一个问题，源代码扫描工具fortify采购，则“Source Code Viewer（源代码查看器）”面板会显示与所选节点相关联的代码。

在“Source Code Viewer（源代码查看器）”面板中，您可以使用代码辅助功能创建自定义规则和新问题，如下所示：

要为某个函数创建规则，请将光标放在该函数中，单击鼠标右键，然后选择 Write Rule for This Function（为此函数编写规则）。

要创建新问题，请将光标放在该函数中，源代码审计工具fortify采购，单击鼠标右键，然后选择 Create New Issue（创建新问题）。

Fortify扫描Android项目

使用插件扫描是一个比较推荐的方式，因为操作简单，且环境可靠不需要重新配置。

首先肯定是获取插件，我们需要从安装Fortify开始。如果已经安装了也不要紧，直接点击安装到原有目录即可，Fortify会自动适配的。安装步骤基本都使用默认选项，但是在选择组件的环节，源代码审计工具fortify采购，我们要记得勾选上我们需要的插件。

上图中红框是给Android Studio使用的插件，是本小节需要使用到的。第二个红框则是一个Visual Studio的插件，后面会用到，这里可以先勾选一下(但要记得Visual Studio的插件只能在Visual Studio已存在时安装，版本也不要选错)。安装后，可以在Fortify安装目录下的plugins﹨IntelliJAnalysis目录中找到我们需要的插件。

然后是第二步，将插件安装到Android Studio上。在Android Studio中打开插件的界面，选择设置的图标，然后选择Install Plugin from Disk...选项，选中前面说到的插件文件。然后重启Android Studio即可生效。

生效后我们可以在Android Studio的标题栏中找到Fortify选项，在Fortify->Analysis Settings...选项中，我们可以配置该插件扫描源码的规则和配置。

蕞后，我们点击Fortify->Analyze Project选项，fortify采购，即可扫描项目并在项目的根目录生成fpr文件

Fortify 审计

Fortify扫描后生成的fpr文件，就是我们审计的目标。Fortify会将源码信息和识别到的风险记录下来。

使用Fortify Audit Workbench打开文件后；左上角的小窗口会列出所有识别出来的潜在风险，双击即可查看对应位置代码。这里是一个在日志中打印IMEI的风险项，左下角可以看到整个数据链路，了解数据的传递路径。视图中上位置是代码窗口，可以看到已经将危险代码标识出来。如果代码窗口中的中文显示乱码，往往是因为Fortify默认的解析字节码是GBK，可以在选中代码文件后，点击Edit->Set Encoding...选项，设置正确的编码方式即可。中下位置则是对于规则的介绍，协助安全工程师确定问题，识别风险。右侧的则是所有依赖的代码的路径。

在我们审计过程中，如果发现问题是误报，可以右键风险项，选择Hide in AWB，即可隐藏误报问题。

然后是生成报告，我们可以选择生成两种报告：

BIRT是统计报告，可以按照不同标准显示各种类型风险的统计信息。也可以选择一些我们认定是误报的项，是否显示。

Legacy表示信息的留存，该报告会将各风险项的信息依次打印出来，可以提供给业务确认风险。