fortify java_Fortify SCA快速入门以及常见问题解决方法
本篇将透过HP_Fortify_SCA_and_Apps_3.80从实用主义的角度入手,使读者能够快速的对该工具进行使用和对一些可能出现的常见问题进行处理,从而完成一个完整流程的源代码安全性静态扫描测试。
快速入门
规则库导入:
所有的扫描都是基于规则库进行的,因此,建立扫描任务的前提条件就是你需要把检查规则拷贝到HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\Core\config\rules文件夹下,拷贝后便为扫描建立了默认的规则库。另外,你也可以自定义规则,这些内容将会在以后逐一介绍。
建立和执行扫描任务:
我们分别通过Java、.Net C#和C/C++三类不同编程语言项目来介绍如何快速建立和执行扫描任务:
Java项目:
Fortify SCA对于Java项目的支持是做得最好的,建立扫描入口的路径选择非常多,常用的方法是直接执行HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\bin\auditworkbench.cmd,启动审计工作台就可以直接对Java项目进行静态扫描;另外也可以使用Fortify SCA插件,集成嵌入Eclipse来完成开发过程中的实时扫描;当然,你也可以使用原生的命令行工具完成全部工作,我们这里介绍一个通用的方法,即利用ScanWizard工具导入你的源码项目,通过一系列设置后,会生成一个批处理脚本文件,通过批处理代替手工输入执行命令进行测试。
使用HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\bin\ScanWizard.cmd启动ScanWizard工具:
通过该页面可以选择你待扫描的Java项目根目录,如下图:
通过该页面你可以Review由Fortify帮你候选好的待扫描文件的情况,并通过人工对其进行调整,以满足你自己的扫描需求;
另外,也会列出所有你已经选择的待扫描文件的文件类型(Fortify所支持的编程语言),你可以通过勾选选择你要扫描的类型。
对于Java项目,通过该页面你可以Review由Fortify帮你候选好的ClassPath,即你项目中引用的所有Jar包,一旦存在引用缺失,它会清晰的对你有如下提示:
这样就有助你把所有Jar文件找到并设置对应的ClassPath,像如下方式通过勾选设置:
对脚本的生成环境、脚本文件的生成路径、名称进行配置;
对扫描阶段进行参数项的配置:
最终将按配置生成一个批处理或Shell脚本,运行即可完成测试。
.Net C#项目:
对于.Net C#项目我们同样以ScanWizard工具为例进行说明,与Java项目的区别是Fortify SCA需要依赖.Net SDK和VisualStudio环境, 因此,需要安装对应版本的相关软件产品。
另外,就是通过如下界面设置源代码内部所依赖的所有动态链接库(DLL)的路径:
当然,除了以上方法,你也可以通过使用Fortify SCA的VisualStudio插件,来完成开发过程中的实时扫描。
C/C++项目:
最后说说C/C++项目,C项目的扫描依赖C/C++编译器,比如Linux上的gcc、g++编译器,Windows上的CL编译器等。在此,我们主要以Linux操作系统下的C项目为例进行介绍,我们完全依靠命令行工具进行扫描,主要的方法是转换过程需要借助C源码项目中Makefile,主要过程如下:
(1)cmdmake clean
(2)cmdsourceanalyzer -b touchless make 建立转换过程
(3)cmdsourceanalyzer -b -scan -f result.fpr进行源代码扫描,并输出结果
结果审计:
扫描的执行很简单,关键是对扫描结果进行review和audit,甄别出真正存在安全风险的代码,这类工具误报率都是很大的,通过执行HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\bin\auditworkbench.cmd,使用审计工作台完成对原始结果的审计,最终可以导出安全报告和开发者报告。
常见问题解决方法
内存不足问题
在应用Fortify SCA实施源代码扫描过程中内存不足是分析器(sourceanalyzer)经常报出的一类问题,如下:
扫描过程中:
com.fortify.sca.analyzer.AbortedException: There is not enough memory available
to complete analysis. For details on making more memory available, please consult the user manual.
结果过程中:
There were 3 problems with insufficient memory. Results may be incomplete. Consider allocating more memory.
因此,我们必须对JVM参数进行调整,增加虚拟器内存大小。
(1)确认安装64位的Fortify SCA程序;(这是一个众所周知的JVM问题,32为虚拟机内存大小及其有限);
(2)安装一个64位的jre,并将其替换HP_Fortify\HP_Fortify_SCA_and_Apps_3.80\的jre目录(就算你安装了64位的Fortify SCA程序,该程序默认的jre仍然是32位的);
(3)调整扫描参数,如下所示:
sourceanalyzer -64 -Xmx4096M -Xms4096M -Xss24M ......
或通过修改ScanWizard工具所生成的脚本文件:
set MEMORY=-64 -Xmx4096M -Xms4096M -Xss24M
这样,我们就解决了内存不足的问题。
.Net环境匹配问题
由于Fortify SCA版本对于支持.Net环境的版本有限,比如最大支持到Microsoft SDK 7.0A
版本的SDK,如下脚本:
echo Searching VS Version....
reg QUERY "HKLM\SOFTWARE\Microsoft\Microsoft SDKs\Windows\v7.0A" 2>NUL >NUL
IF %ERRORLEVEL%==0 (
set LAUNCHERSWITCHES=-vsversion 10.0 %LAUNCHERSWITCHES%
echo Found .NET 4.0 setting to VS version 10.0
GOTO VSSELECTED
)
通过Windows注册表中的SDK信息设置扫描依赖版本;
而且,由于Windows版本和.Net Framework版本的差异,环境上往往需要自己增加许多配置项,最常见的配置如下:
(1)SDK版本设置:
比如是8.1版本的,我们可以修改脚本文件:
reg QUERY "HKLM\SOFTWARE\Microsoft\Microsoft SDKs\Windows\v8.1A" 2>NUL >NUL
(2)ildasm路径设置
Unable to locate ildasm是一个常见问题,在转换中没有寻找到ildasm程序,可以通过以下方法设置:
1、fortify-sca.properties文件增加一行com.fortify.sca.IldasmPath=C:\Program Files (x86)\Microsoft SDKs\Windows\v8.1A\bin\NETFX 4.5.1 Tools\ildasm(一定是双斜杠)
2、脚本中的Translating过程中增加一行,如:
echo Translating files
echo %SOURCEANALYZER% %MEMORY% %LAUNCHERSWITCHES% -b %BUILDID% @%ARGFILE%
%SOURCEANALYZER% %MEMORY% %LAUNCHERSWITCHES% -b %BUILDID% @%ARGFILE% -Dcom.fortify.sca.IldasmPath="C:\Program Files (x86)\Microsoft SDKs\Windows\v8.1A\bin\NETFX 4.5.1 Tools\ildasm"
IF %ERRORLEVEL%==1 (
echo Sourceanalyzer failed, exiting
GOTO :FINISHED
)
(3)依赖DLL的设置 在通过ScanWizard设置源代码内部所依赖的所有动态链接库(DLL)的路径过程中,不会像Java项目一样报出哪些库未正确引用,只有当执行扫描时才会进行警告,因此,需要返回来通过警告信息进行设置,为“-libdirs”设置正确的路径,主要的引用目录路径为: C:\Windows\Microsoft.NET\Framework和C:\Windows\Microsoft.NET\Framework64。
fortify java_Fortify SCA快速入门以及常见问题解决方法相关推荐
- Fortify SCA快速入门以及常见问题解决方法
本篇将透过HP_Fortify_SCA_and_Apps_3.80从实用主义的角度入手,使读者能够快速的对该工具进行使用和对一些可能出现的常见问题进行处理,从而完成一个完整流程的源代码安全性静态扫描测 ...
- PSCAD快速上手和常见问题解决办法
PSCAD快速上手和常见问题解决办法 PSCAD文件 编译过程 如何新建一个项目? 如何添加元件到case里? 如何新建元件? PSCAD模型常见问题及解决办法 1. 缺少Gfortran编译器 2. ...
- 使命召唤5该服务器没有响应,使命召唤5世界战争 常见问题解决方法
使命召唤5世界战争常见问题解决方法,还不知道怎么解决的朋友可以来看看 COD5打了一周多了,这个游戏从安装开始一直到网战模式与合作模式都有很多的问题,所以前几天一直在网上找各种解决方法,现在游戏的运行 ...
- Android开发环境搭建及常见问题解决方法
Android开发环境搭建及常见问题解决方法 参考文章: (1)Android开发环境搭建及常见问题解决方法 (2)https://www.cnblogs.com/rwxwsblog/p/476978 ...
- DKhadoop安装配置教程与常见问题解决方法
上周分别就DKHadoop的安装准备工作以及服务器操作系统配置写了两篇分享的文章,这是个人第一次尝试写一个系统性的分享文章,必然会有很多疏漏的地方,还望见谅吧.今天分享的是DKHadoop安装以及常见 ...
- Web Deploy发布网站及常见问题解决方法(图文)
Web Deploy发布网站及常见问题解决方法(图文) Windows2008R2+IIs7.5 +Web Deploy 3.5 Web Deploy 3.5下载安装 http://www.iis.n ...
- 堡垒之夜服务器维修,堡垒之夜常见问题解决方法
本次小编给大家带来的是堡垒之夜常见问题解决方法,相信有玩家在玩堡垒之夜的时候会遇到游戏中的一些小问题?下面小编就为大家带来堡垒之夜部分常见问题解决方法汇总,一起来看看吧! 堡垒之夜常见问题解决方法 1 ...
- sqoop导入数据常见问题解决方法
sqoop导入数据常见问题解决方法 参考文章: (1)sqoop导入数据常见问题解决方法 (2)https://www.cnblogs.com/chaojibaidu/p/11071132.html ...
- Python爬虫编程常见问题解决方法
Python爬虫编程常见问题解决方法 参考文章: (1)Python爬虫编程常见问题解决方法 (2)https://www.cnblogs.com/xpwi/p/9604015.html (3)htt ...
最新文章
- 用 Python 实现打飞机,让子弹飞吧!
- Mysql8.0 3306端口无法远程连接
- LI中内容超过长度后以省略号显示的方法
- Direct2D (35) : 通过 DirectWrite 获取字体列表
- 第一个Windows程序讲解
- php try catch 作用域,php作用域
- 《面向对象的思考过程(原书第4版)》一 导读
- 工作380-js判断是否为空
- 爬虫2-web请求与http协议
- 技术人员的明天:35岁后我们做什么
- 带你全面了解真正的CleanMyMac,CleanMyMac使用说明
- 【转】 GitHub 优秀的 Android 开源项目
- 【数据结构基础_有[*pHead]和[*pEnd]的单向链表_(C++实现)】
- 微信订阅号之1-注册
- 诗意插画:心理健康问题上的从A到Z
- Redis用来干嘛的?
- mysql 唯一序列号_利用mysql生成唯一序号
- 本科计算机er如何入手一些项目?
- apfs扩容_向 APFS 文件系统转进:iOS 10.3 为 iPhone 变相扩容存储空间
- java项目-第34期基于SpringBoot实现的中小医院HIS管理系统【毕业设计】