苏州华克斯-源代码检测工具fortify扫描

Fortify软件

强化静态代码分析器

使软件更快地生产

语义本分析仪在程序级别检测功能和API的潜在危险用途。基本上是一个聪明的GREP。

配置此分析器在应用程序的部署配置文件中搜索错误，弱点和策略违规。

缓冲区此分析仪检测缓冲区溢出漏洞，涉及写入或读取比缓冲区容纳的更多数据。

分享这个

于十二月二十四日十二时十七分

感谢你非常有用的信息。你知道这些分析仪在内部工作吗？如果您提供一些细节，我将非常感谢。 - 新手十二月27'12 at 4:22

1

有一个很好的，源代码检测工具fortify扫描，但干燥的书的主题：/Secure-Programming-Static-Analysis-Brian/dp/... - LaJmOn Nov 8 '12 at 16:09

现在还有一个内容分析器，尽管这与配置分析器类似，除非在非配置文件中搜索问题（例如查找HTML，JSP for XPath匹配） - lavamunky 11月28日13日11:38

@LaJmOn有一个非常好的，但在完全不同的抽象层次，我可以用另一种方式回答这个问题：

您的源代码被转换为中间模型，该模型针对SCA的分析进行了优化。

某些类型的代码需要多个阶段的翻译。例如，需要先将C＃文件编译成一个debug.DLL或.EXE文件，然后将该.NET二进制文件通过.NET SDK实用程序ildasm.exe反汇编成Microsoft Intermediate Language（MSIL）。而像其他文件（如Java文件或ASP文件）由相应的Fortify SCA翻译器一次翻译成该语言。

SCA将模型加载到内存中并加载分析器。每个分析器以协调的方式加载规则并将这些角色应用于程序模型中的功能。

匹配被写入FPR文件，漏洞匹配信息，安全建议，源代码，源交叉引用和代码导航信息，用户过滤规范，任何自定义规则和数字签名都压缩到包中。

FortifySCA源代码安全风险评估服务

服务背景

软件源代码的安全性越来越重要，黑ke越来越趋向利用软件代码的安全漏洞攻击系统，几乎75%的黑ke攻击事件与软件代码安全相关。为了加强软件源代码的安全性，由内而外解决企业面临的代码安全挑战。苏州华克斯信息科技有限公司联合业界代码安全风险评估产品（美国：fortify），帮助软件企业和项目降低软件安全风险，提高软件代码的安全性，提供灵活方便的源代码安全风险评估服务.本服务主要帮助企业查找和分析已有的软件源代码，识别其安全风险，并提供详细的分析和修复建议，帮助企业尽快尽早修复软件代码的安全缺陷，华南fortify扫描，保障系统的安全性，从而保护企业软件的安全性，保护企业信息系统资产及正常的信息化服务.

Fortify软件

强化静态代码分析器

使软件更快地生产

如何解决Fortify报告的扫描问题

跳到元数据结束

由Matthew Condell创建，源代码检测工具fortify扫描，由Charles Williams于二零零七年六月二十六日修改，转到元数据的开始

这个页面已经被供应商公开了

图标

题

在扫描我的应用程序时，Fortify报告了错误或警告。如何解决这些错误？

回答

Fortify可能会报告一些不同的错误消息。这里将列出常见的错误消息以及指向其他技术说明的指针，源代码审计工具fortify扫描，其中提供了有关如何解决这些问题的信息。要检索错误消息列表，请按照“如何查看Fortify报告的错误消息”中的说明进行操作。它也可能有助于生成调试日志文件，可以更好地了解问题。

常见的错误消息及其解决方案包括：

错误代码

错误信息

笔记

N / A分析期间没有发生警告没有发生错误。扫描很好去

N / A执行预编译时出错如何解决“执行预编译时出错”

-1错位的关闭标签[...]此错误可能不会影响扫描结果，但建议检查引用的文件以查看是否有错放的HTML标签。

1001，1381，1554，10000，...

解析文件或语法错误时出错如何解决文件解析或语法错误

1103转换器执行失败。这是Fortify 16.20扫描C＃6 / VB 14代码的一个知识问题。请参阅以下博客文章以获取有关如何处理的信息：Fortify 16.20“C＃6 / VB 14”中的“转换器执行失败”错误

1105，1480没有足够的内存可用来完成分析增加分配给Fortify的内存量：如何增加Fortify进行翻译的内存

1114功能。 。 。对于详尽的数据流分析来说太复杂了，进一步的分析将被跳过（堆栈）如何解决“功能...太复杂”错误