源代码检测工具fortify版本-苏州华克斯信息

Fortify SAST 新增语言支持

提供27种以上的主要语言及其框架的准确支持和敏捷更新。之后将添加更多新的语言版本，源代码扫描工具fortify版本，从根本上改进、简化工作方式。以下语言更新已添加到 Fortify Static 代码分析器：

.NET

增加对 .NET 5.0、C# 9、 Blazor 语言和框架的支持。

MSBuild Support Update

增加对16.8和16.9版本的支持。

Go

增加对1.15和1.16版本的支持；增加对 GOPROXY 环境变量的支持。

Java

更新 JSP 翻译以减少误报；改进字节码分析。

JavaScript

增加对 TypeScript 4.1及Angular 10、11语言和框架的支持。

Kotlin

增加对 Kotlin 1.4.20版本的支持。

PHP

增加对 PHP 7.2、7.3、7.4及8.0版本的支持。

Python

增加对Python 3.9、Django 3.1语言和框架的支持。

Swift/Obj-C

增加对 Xcode 12.4版本的支持。

Operating Systems (Linux)

增加对以下 Linux 服务器的支持：1. SUSE Linux Enterprise Server 15

2. Red Hat Enterprise Linux 8.2

3. CentOS Linux 7.6-1810 and 8.2-2004

4. Ubuntu 20.04.1 LTS

Micro Focus Visual COBOL (Technology Preview)

增加对 Micro Focus Visual COBOL 6.0.版本的支持。

C/C++ (Technology Preview)

使用新的基于 Clang 的翻译改进对 C++11 结构的支持。

Fortify system命令执行检测

除了使用 DataflowSourceRule 、DataflowSinkRule 等规则来定义污点跟踪相关的属性外，Fortify还支持使用 CharacterizationRule 来定义污点跟踪相关的特性。

Fortify在编译/分析代码过程中会把代码中的元素（代码块、类、表达式、语句等）通过树状结构体组装起来形成一颗 structural tree，然后扫描的时候使用 Structural Analyzer 来解析 StructuralRule ，蕞后输出匹配的代码。

下面以一个简单的示例看看 structural tree 的结构，示例代码如下

Fortify 静态代码分析器（SCA）利用多种算法和扩展的安全编码规则知识库，分析应用程序的源代码，及时发现可修复的漏洞。

为更好处理代码，Fortify SCA 的工作方式与编译器存在相似性——读取并将源代码文件转换为增强的中间结构，以快速执行安全分析。分析引擎由多个专门的分析程序组成，基于安全编码规则分析代码库是否违反了安全编码实践。除此外，Fortify SCA 还提供规则构建器以扩展静态分析，华东fortify版本，并包含自定义规则，用户根据受众和任务特性，灵活查看分析结果。