HPFortifySCA簡(jiǎn)介

1.軟件基本功能

·        

安全漏洞檢測(cè)需擁有目前業(yè)界quan威的代碼漏洞規(guī)則庫，能夠檢測(cè)出600種以上的問題

·        

支持多種常見編程語言，源代碼檢測(cè)工具fortify服務(wù)商，包括，C，C++，C#，Classic

ASP， Flex/Acti***cript，fortify服務(wù)商，Java，JavaScript/AJAX，JSP，Objective

C，PL/SQL，PHP，T-SQL，VB.NET，VBScript，源代碼掃描工具fortify服務(wù)商，VB6，XML/HTML，Python，

ColdFusion， COBOL，源代碼掃描工具fortify服務(wù)商， ABAP等語言。

·        

支持多種IDE，較好地和現(xiàn)有成熟的軟件開發(fā)環(huán)境集成。如：Visual Studio 2003、2005、2008、2010、2012，Eclipse 2.X、 3.X，WSAD，RAD工具等。

·        

支持多種操作系統(tǒng)，即可以安裝在所有主流操作系統(tǒng)中，如：Windows、 Linux 、AIX、HP-Unix、 Solaris、Mac OS等。

·        

工具生成的測(cè)試結(jié)果報(bào)告文檔包含詳盡的中文漏洞說明和修復(fù)指導(dǎo)建議。

·        

工具的技術(shù)達(dá)到國(guó)際ling先水平和地位，有國(guó)際/國(guó)內(nèi)機(jī)構(gòu)的獎(jiǎng)勵(lì)和證書或?qū)ASC/OWASP組織有重要貢獻(xiàn)。在ju的IT研究咨詢機(jī)構(gòu)Gartner的xin報(bào)告中，應(yīng)該位于魔力象限的di一象限業(yè)界地位。

Fortify軟件

強(qiáng)化產(chǎn)品包括靜態(tài)應(yīng)用程序安全測(cè)試[11]和動(dòng)態(tài)應(yīng)用程序安全測(cè)試[12]產(chǎn)品，以及在軟件應(yīng)用程序生命周期內(nèi)支持軟件安全保障或可重復(fù)和可審計(jì)的安全行為的產(chǎn)品和服務(wù)。 13]

2011年2月，F(xiàn)ortify還宣布了Fortify OnDemand，一個(gè)靜態(tài)和動(dòng)態(tài)的應(yīng)用程序測(cè)試服務(wù)。[14]

靜態(tài)代碼分析工具列表

HP WebInspect

惠普新聞稿：“惠普完成Fortify軟件的收購，加速應(yīng)用程序生命周期安全”2010年9月22日。

跳轉(zhuǎn)軟件搜索安全漏洞（英文），，2004年4月5日

2004年4月5日，跳起來加強(qiáng)軟件的新方法

跳起來^桑德，保羅;貝克，莉安娜B.（08-09-08）。 “惠普企業(yè)與Micro Focus軟件資產(chǎn)交易達(dá)88億美元。”路透社。已取消2010-09-13

跳起來^“開源社區(qū)的質(zhì)量和解決方案”于2016年3月4日在Wayback機(jī)上歸檔。

跳起來^“軟件安全錯(cuò)誤”歸檔2012年11月27日，在Wayback機(jī)。

跳起來“JavaScript劫持”于2015年6月23日在Wayback機(jī)上存檔。

跳起來^“通過交叉構(gòu)建注入攻擊構(gòu)建”

跳起來“看你所寫的：通過觀察節(jié)目輸出來防止跨站腳本”

跳起來^“動(dòng)態(tài)污染傳播”

跳起來強(qiáng)化SCA

跳起來^ Fortify Runtime

惠普強(qiáng)化治理

跳高^ SD Times，“惠普建立了安全即服務(wù)”2011年2月15日。

Fortify軟件

強(qiáng)化靜態(tài)代碼分析器

使軟件更快地生產(chǎn)

“將FINDBUGS XML轉(zhuǎn)換為HP FORTIFY SCA FPR | MAIN | CA特權(quán)身份管理員安全研究白皮書?

強(qiáng)化針對(duì)JSSE API的SCA自定義規(guī)則濫用

我們的貢獻(xiàn)：強(qiáng)制性的SCA規(guī)則

為了檢測(cè)上述不安全的用法，我們?cè)贖P Fortify SCA的12個(gè)自定義規(guī)則中對(duì)以下檢查進(jìn)行了編碼。這些規(guī)則確定了依賴于JSSE和Apache HTTPClient的代碼中的問題，因?yàn)樗鼈兪呛窨蛻舳撕虯ndroid應(yīng)用程序的廣泛使用的庫。

超許可主機(jī)名驗(yàn)證器：當(dāng)代碼聲明一個(gè)HostnameVerifier時(shí)，該規(guī)則被觸發(fā)，并且它總是返回'true'。

<謂詞>

 <！[CDATA [

函數(shù)f：f.name是“verify”和f.pers

包含[Class：name ==“.nameVerifier”]和

f.parameters [0] .是“ng.String”和

f.parameters [1] .是“.ssl.SSLSession”和

f.是“boolean”，f包含

[ReturnStatement r：r.expression.ctantValue matches“true”]

 ]]>

</謂詞>

過度允許的信任管理器：當(dāng)代碼聲明一個(gè)TrustManager并且它不會(huì)拋出一個(gè)CertificateException時(shí)觸發(fā)該規(guī)則。拋出異常是API管理意外狀況的方式。

<謂詞>

 <！[CDATA [

函數(shù)f：f.name是“checkServerTrusted”和

f.parameters [0] .是“curity.cert.X509Certificate”

和f.parameters [1] .是“ng.String”和

f.是“void”而不是f包含[ThrowStatement t：

t.expression.pers包含[Class：name ==

“（curity.cert.CertificateException | curity.cert.CertificateException）”]

 ]]>

</謂詞>

缺少主機(jī)名驗(yàn)證：當(dāng)代碼使用低級(jí)SSLSocket API并且未設(shè)置HostnameVerifier時(shí)，將觸發(fā)該規(guī)則。

經(jīng)常被誤用：自定義HostnameVerifier：當(dāng)代碼使用HttpsURLConnection API并且它設(shè)置自定義主機(jī)名驗(yàn)證器時(shí)，該規(guī)則被觸發(fā)。

經(jīng)常被誤用：自定義SSLSocketFactory：當(dāng)代碼使用HttpsURLConnection API并且它設(shè)置自定義SSLSocketFactory時(shí)，該規(guī)則被觸發(fā)。

我們決定啟動(dòng)“經(jīng)常被濫用”的規(guī)則，因?yàn)閼?yīng)用程序正在使用API，并且應(yīng)該手動(dòng)審查這些方法的重寫。

規(guī)則包可在Github上獲得。這些檢查應(yīng)始終在源代碼分析期間執(zhí)行，以確保代碼不會(huì)引入不安全的SSL / TLS使用。

https:///GDSSecurity/JSSE_Fortify_SCA_Rules

AuthorAndrea Scaduto |評(píng)論關(guān)閉|分享文章分享文章

標(biāo)簽TagCustom規(guī)則，CategoryApplication安全性中的TagSDL，CategoryCustom規(guī)則