Fortify审计界面概述
下图显示了“Auditing（审计）”界面中的 Webgoat FPR 文件示例。
Audit Workbench 界面：
Audit Workbench 界面由以下几个面板组成：
“Issues（问题）”面板
“Analysis Trace（分析跟踪）”面板
“Project Summary（项目摘要）”面板
“Source Code Viewer（源代码查看器）”面板
“Function（函数）”面板
“Issue Auditing（问题审计）”面板
“Issues（问题）”面板
使用 Issues（问题）面板，您可以对希望审计的问题进行分组和选择。该面板由下列元素组成：
“Filter Set（过滤器组）”下拉列表
“Folders（文件夹）”选项卡
Group by（分组方式）
“Search（搜索）”框
Fortify Summary（摘要）：
Summary（摘要）选项卡显示了关于当前所选问题的以下信息：
问题审计面板中的摘要选项卡
下表描述了“Summary（摘要）”面板中的各个选项：
Details（详细信息）：
Details（详细信息）选项卡提供了有关所选问题的详细说明，并提供了用于解决该问题的指导方针。每项说明均包括下表中所述的部分或全部栏目。
Recommendat（建议）
“Recommendat（建议）”选项卡包含有关如何避免引发该漏洞或修改该漏洞方法的建议与示例。
History（历史记录）
显示完整的审计操作列表，其中包括以下详细信息：日期和时间、执行审计的计算机以及修正该问题的用户名称。
C/C++源码扫描系列- Fortify 篇
环境搭建
Linux搭建
解压的压缩包，然后执行 ./Fortify_SCA_and_Apps_19.2.n 按照引导完成安装即可，安装完成后进入目录执行sourceanalyzer来查看是否安装完成
然后将 rules 和 ExternalMetadata 拷贝到对应的目录中完成规则的安装。
Fortify的工作原理和codeql类似，首先会需要使用Fortify对目标源码进行分析提取源代码中的信息，然后使用规则从源码信息中查询出匹配的代码。
Fortify system命令执行检测
除了使用 DataflowSourceRule 、DataflowSinkRule 等规则来定义污点跟踪相关的属性外，Fortify还支持使用 CharacterizationRule 来定义污点跟踪相关的特性。
Fortify在编译/分析代码过程中会把代码中的元素（代码块、类、表达式、语句等）通过树状结构体组装起来形成一颗 structural tree，然后扫描的时候使用 Structural Analyzer 来解析 StructuralRule ，蕞后输出匹配的代码。
下面以一个简单的示例看看 structural tree 的结构，示例代码如下
以上信息由专业从事源代码检测工具fortify总代理的华克斯于2025/5/6 10:48:41发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/hksxxkj-2860382618.html
