– HPE Fortify SCA
分析的流程
运用三步走的方法来执行源代码安全风险评估：
u 确定源代码安全风险评估的审查目标
u 使用Fortify执行初步扫描并分析安全问题结果
u 审查应用程序的架构所特有的代码安全问题
在第yi步中，我们使用威胁建模（如果可用）的结果以及对用于构建该应用的架构和技术的理解，其目标就是寻求一系列的安全漏洞的风险表现形式。在初步检查过程中，我们将结合静态分析和轻量级的人工审查来确定代码中关键点-很可能包含了更多漏洞的地方，初始扫描使我们能够优先考虑风险gao的区域。
在审查主要代码过程中，我们的源代码安全分析人员对代码进行彻底审查来寻找常见安全问题，比如大家熟悉的缓冲区溢出、跨站点脚本，SQL注入等。终审查用于调查本应用程序架构所特有的问题，一般表现为威胁建模或安全特征中出现的威胁，如自定义身份验证或授权程序等。
FortifySCA PTA 无需源代码，部署简单方便
与QA测试活动结合，省时省力
自动化完成测试，提供安全漏洞信息，使修复漏洞更快，更容易
能达到较高的测试覆盖率，发现更多安全漏洞，测试更加全mian
软件开发人员：企业软件外包商或者内部开发人员。主要对所开发项目的漏洞进行修复。
安全测试人员，主要从事使用Fortify SCA 对所有需要被测试项目的源代码进行安全测试。：一般为软件测试部的人员。
安全审计人员：主要从事软件安全漏洞审计的人员，一般与安全测试人员为同一个人。主要对所有项目的漏洞进行审计和漏洞信息发布。
项目管理人员：主要从事软件安全测试事宜的管理，监督。以及与外包商/开发团队的协调工作。一般为安全处/部人员
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书»
强化针对JSSE API的SCA自定义规则滥用
允许所有的行动
应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。
Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。
HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12,800个结果）。
HostnameVerifier allHostsValid = new HostnameVerifier（）{
public boolean verify（String hostname，SSLSession session）{
返回真
}
};
SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。
private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）
throws CertificateException {
...
String identityAlg = engine.getSSLParameters（）。
getEndpointIdentificationAlgorithm（）;
if（identityAlg！= null && identityAlg.length（）！= 0）{
checkIdentity（session，chain [0]，identityAlg，isClient，
getRequestedServerNames（发动机））;
}
...
}
当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。
这种记录的行为被掩埋在JSSE参考指南中：
“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭
以上信息由专业从事源代码审计工具fortify代理商的华克斯于2025/6/18 12:27:54发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/hksxxkj-2870154903.html
上一条：秦皇岛软启动器FT-PR-160KW产品说明书生产基地「富田电气」
下一条：没有了
