c/c++源碼掃描系列- fortify 篇
環(huán)境搭建
linux搭建
解壓的壓縮包，然后執(zhí)行 ./fortify_sca_and_apps_19.2.1_linux_x64.run 按照引導(dǎo)完成安裝即可，fortify，安裝完成后進入目錄執(zhí)行source---yzer來查看是否安裝完成
然后將 rules 和 externalmetadata 拷貝到對應(yīng)的目錄中完成規(guī)則的安裝。
fortify的工作原理和codeql類似，fortify如何使用，首先會需要使用fortify對目標源碼進行分析提取源代碼中的信息，然后使用規(guī)則從源碼信息中查詢出匹配的代碼。
fortify sca 掃描
fortify sca 的結(jié)果文件為.fpr文件，應(yīng)用安全軟件，包括詳細的漏洞信息：漏洞分類，漏洞產(chǎn)生的全路徑，漏洞所在的源代碼行，漏洞的詳細說明及修復(fù)建議等。
1、首先清除上一次掃描的緩存：
source---yzer -b scg-authcct -clean
2、掃描、編譯源碼，需要執(zhí)行依賴的jar包文件和源文件：
source---yzer -encoding utf-8 -xmx1024m -b dmc -cp d:/code/cct/dmc/src/main/webapp/web-inf/lib/**/*.jar -source 1.6 d:/code/cct/dmc/src/main/java/**/*.java
3、生成fpr文件：
4、生成pdf文件：
fortify sca亂碼解決
1：單文件亂碼解決方案
可通過edit下set encoding設(shè)置。
2：修改audit workbench默認編碼
找到productlaunch.cmd文件d:﹨dev﹨f(xié)ortify﹨f(xié)ortify_sca_and_apps_20.1.1﹨core﹨private-bin﹨awb﹨productlaunch.cmd在蕞后這一行末添加-dfile.encoding=utf-8，以規(guī)定其eclipse---默認使用utf-8編碼。
備注：productlaunch.cmd 在 audit workbench 的 auditworkbench.cmd 文件內(nèi)可找到。
3：修改fortify集成的eclipse默認編碼
添加 fortify 的 eclipse 啟動參數(shù) -dfile.encoding=utf-8
|
登錄后臺
滇公網(wǎng)安備 53011202000392