Fortify介绍
Fortify是一款强大的静态代码扫描分析工具，其发现代码漏洞缺陷的能力十分强悍，主要是将代码经过编译，依托于其强大的内置规则库来发现漏洞的。其次fortify SCA团队在开发此商业工具时，也提供了自定义规则的接口，只要经过正版授权后，便可以在此基础上自定义规则，来增强Fortify SCA的漏洞识别能力，同时经过自定义规则，也可以降低误报，使静态分析的准确度和性。
默认情况下，Fortify SCA使用安装的安全编码规则包来检查源代码，并定义一系列可能出现的问题，如可者李勇的安全漏洞和不良的编码缺陷。
安全编码规则中的规则分析受支持语言的和扩展的API包中的函数，并将分析结果记录在Fortify SCA中。每一个问题的解释包含了对问题的描述和建议的解决方案，一边更好的解决程序中的漏洞和缺陷。也可以通过创建自定义规则包来准确地分析特定的应用程序，验证专门的安全规则以及细化Fortify SCA所报告的问题。
Fortify常见问题解决方法
.Net环境匹配问题
由于Fortify SCA版本对于支持.Net环境的版本有限，比如蕞大支持到Microsoft SDK 7.0A
版本的SDK，如下脚本：
1、echo Searching VS Version....
2、reg QUERY "HKLM\SOFTWARE\Microsoft\Microsoft SDKs\Windows\v7.0A" 2>NUL >NUL
3、IF %ERRORLEVEL%==0 (
4、set LAUNCHERSWITCHES=-vsversion 10.0 %LAUNCHERSWITCHES%
5、echo Found .NET 4.0 setting to VS version 10.0
6、GOTO VSSELECTED
通过Windows注册表中的SDK信息设置扫描依赖版本；
而且，由于Windows版本和.Net Framework版本的差异，环境上往往需要自己增加许多配置项，蕞常见的配置如下：
（1）SDK版本设置：
比如是8.1版本的，我们可以修改脚本文件：
reg QUERY "HKLM\SOFTWARE\Microsoft\Microsoft SDKs\Windows\v8.1A" 2>NUL >NUL
（2）ildasm路径设置
Unable to locate ildasm是一个常见问题，在转换中没有寻找到ildasm程序，可以通过以下方法设置：
1、fortify-perties文件增加一行com.a.IldasmPath=C:\Program Files (x86)\Microsoft SDKs\Windows\v8.1A\bin\NETFX 4.5.1 Tools\ildasm（一定是双斜杠）
Fortify审计界面概述
下图显示了“Auditing（审计）”界面中的 Webgoat FPR 文件示例。
Audit Workbench 界面：
Audit Workbench 界面由以下几个面板组成：
“Issues（问题）”面板
“Analysis Trace（分析跟踪）”面板
“Project Summary（项目摘要）”面板
“Source Code Viewer（源代码查看器）”面板
“Function（函数）”面板
“Issue Auditing（问题审计）”面板
“Issues（问题）”面板
使用 Issues（问题）面板，您可以对希望审计的问题进行分组和选择。该面板由下列元素组成：
“Filter Set（过滤器组）”下拉列表
“Folders（文件夹）”选项卡
Group by（分组方式）
“Search（搜索）”框
以上信息由专业从事源代码检测工具fortify规则库的华克斯于2025/8/29 17:36:16发布
转载请注明来源：http://www.zhizhuke.cn/qyzx/qyxx-2884731332.html
