fortify掃描-蘇州華克斯信息

Fortify自定義規(guī)則

1). 在fortify SCA安裝的bin目錄下找到打開自定義規(guī)則編輯器，d，如下圖所示：

2). 打開編輯器后，選擇File ——>Generate Rule，彈出規(guī)則向?qū)Э颉?/p>

3). 自定義規(guī)則模板可以按照漏洞類型(Category)和規(guī)則類型（Rule Type）進(jìn)行分類，不管是何種方式分類，這些模板大體上分為，數(shù)據(jù)污染源tainted規(guī)則，數(shù)據(jù)控制流規(guī)則，數(shù)據(jù)傳遞規(guī)則，以及漏洞缺陷爆發(fā)的sink規(guī)則。只要理解了這些規(guī)則模板，和開發(fā)語言的函數(shù)特征，建立規(guī)則就簡單了。

4) .選擇規(guī)則包語言，點(diǎn)擊next，fortify掃描，然后填寫報(bào)名，類名，函數(shù)名

5). 點(diǎn)擊next，設(shè)置sink點(diǎn)

Fortify掃描Qt項(xiàng)目

Fortify對(duì)于C++類型的代碼掃描需要結(jié)合編譯指令實(shí)現(xiàn)，但Fortify支持的C++指令并不多，所以有些類似使用Qt工具開發(fā)的項(xiàng)目就需要做一定調(diào)整來適配Foritfy的掃描。使用gcc或者cl級(jí)別的命令來實(shí)現(xiàn)會(huì)很麻煩，因?yàn)樾枰獙?duì)于Qt的qmake工具運(yùn)行邏輯有一定深入分析，熟知其生成的Makefile以來的環(huán)境和make工具，難度較大，所以更建議以Visual Studio的Fortify插件為入口，先將Qt項(xiàng)目轉(zhuǎn)成Visual Studio項(xiàng)目，再使用插件掃描，這樣就會(huì)容易很多。

我們簡單介紹一下流程:

1、在Visual Studio中安裝Qt Visual Studio Tools插件和Fortify插件。

2、在Qt插件的Qt Opt選項(xiàng)中配置編譯套件，該套件位置可以在Qt對(duì)應(yīng)版本下面，比如Qt﹨Qt5.12.8﹨5.12.8﹨msvc2017。

3、使用Qt插件的Open Qt Project File (.pro)...打開對(duì)應(yīng)的Qt項(xiàng)目，并使用插件的Convert custom build steps to Qt/MSBuild選項(xiàng)，源代碼審計(jì)工具fortify掃描，將項(xiàng)目轉(zhuǎn)成vs項(xiàng)目，并生成對(duì)應(yīng)的.vcsproj文件。

測試能成功運(yùn)行后，就可以使用Fortify進(jìn)行掃描了。步驟類似與上面的Android項(xiàng)目，即可生成對(duì)應(yīng)的fpr文件。另外，如果想要使用命令來自動(dòng)化的進(jìn)行項(xiàng)目掃描，源代碼掃描工具fortify掃描，但不知道一個(gè)類型的項(xiàng)目如何進(jìn)行適配，源代碼審計(jì)工具fortify掃描，可以解壓使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.mand屬性內(nèi)容，里面包含了該項(xiàng)目生成掃描中間文件的指令參數(shù)，可以參考了解如何配置自動(dòng)化的掃描平臺(tái)。

Fortify SCA 卸載（一）

About Uninstalling Fortify Static Code Analyzer and Applicati0ns

本節(jié)描述如何卸載增強(qiáng)的靜態(tài)代碼分析器和應(yīng)用程序?？梢允褂脴?biāo)準(zhǔn)安裝向?qū)?，也可以靜默執(zhí)行卸載。還可以在非windows系統(tǒng)上執(zhí)行基于文本的卸載。

本節(jié)包含以下主題:

Uninstalling Fortify Static Code Analyzer and Applicati0ns

Start >Control Panel >Add or Remove Programs.

Fortify SCA and Applicati0ns ， and then click Remove.

系統(tǒng)會(huì)提示您是否刪除所有應(yīng)用程序設(shè)置。做以下任何一件事:

單擊Yes刪除與要卸載的Fortify Static Code Analyzer版本相關(guān)的工具的應(yīng)用程序設(shè)置文件夾。未刪除Fortify靜態(tài)代碼分析器(sca)文件夾。

單擊No保留系統(tǒng)上的應(yīng)用程序設(shè)置。

Uninstalling on Other Platforms

位于中的卸載命令:

Unix or Linux Uninstall_FortifySCAandApps.exe

macOS Uninstall_FortifySCAandApps_.app

單擊Yes刪除與要卸載的Fortify Static Code Analyzer版本相關(guān)的工具的應(yīng)用程序設(shè)置文件夾。未刪除Fortify靜態(tài)代碼分析器(sca)文件夾。

單擊No保留系統(tǒng)上的應(yīng)用程序設(shè)置。

Uninstalling Fortify Static Code Analyzer and Applicati0ns Silently

導(dǎo)航到安裝目錄。