Fortify软件强化静态代码分析器使软件更快地生产转移景观语言支持也得到了扩展，完全支持PHP，JavaScript，COBOL以及所有添加到版本5的ASP和Basic的classic-non-.NET版本。FortifySCA以前一直支持C＃，VB.NET，Java和C/C++，ColdFusion和存储过程语言，如MicrosoftTSQL和OraclePL/SQL。“从基于COM的语言到.NET版本的迁移速度并没有像我们以前那样快，”Meftah解释说。“这些COM语言的安装基础很大，我们从我们的安装基础和其他方面得到了很多查询。”SANSInstitute互联网风暴中心研究员JohannesUllrich表示，fortify扫描，FortifySCA等代码分析工具对于成长型企业开发商店至关重要。“我认为[代码分析工具]的部署方式不足，我看到很少使用它们，通常只适用于大型企业项目，”Ullrich说。“这是一个巨大的时间保护，它没有找到所有的漏洞，但它找到标准的东西，它需要很多繁忙的代码审查。FortifySCA旨在与现有工具和IDE集成，包括MicrosoftVisualStudio，Eclipse和IBMRapidApplicationDeveloper（RAD）。基于Java的套件运行在各种操作系统上，包括Windows，Linux，MacOSX和各种各样的Unix。许可证的基准价格为每位开发人员约1，源代码检测工具fortify扫描，200美元，另外还需支付维护费用，并订阅更新的代码规则以防止出现的漏洞。关于作者迈克尔·德斯蒙德（MichaelDesmond）是1105媒体企业计算组织的编辑兼作家。Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用我们的贡献：强制性的SCA规则为了检测上述不安全的用法，我们在HPFortifySCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和ApacheHTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，并且它总是返回true。<谓词><！[CDATA[函数f：f.name是“verify”和f.enclosingClass.supers包含[Class：name==“javax.net.ssl.HostnameVerifier”]和f.parameters[0].type.name是“java.lang.String”和f.parameters[1].type.name是“javax.net.ssl.SSLSession”和f.returnType.name是“boolean”，f包含[ReturnStatementr：r.expression.ctantValuematches“true”]]]></谓词>过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。<谓词><！[CDATA[函数f：f.name是“checkServerTrusted”和f.parameters[0].type.name是“java.security.cert.X509Certificate”和f.parameters[1].type.name是“java.lang.String”和f.returnType.name是“void”而不是f包含[ThrowStatementt：t.expression.type.definition.supers包含[Class：name==“（javax.security.cert.CertificateException|java.security.cert.CertificateException）”]]]></谓词>缺少主机名验证：当代码使用低级SSLSocketAPI并且未设置HostnameVerifier时，将触发该规则。经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnectionAPI并且它设置自定义主机名验证器时，该规则被触发。经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnectionAPI并且它设置自定义SSLSocketFactory时，源代码审计工具fortify扫描，该规则被触发。我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL/TLS使用。https://github.com/GDSSecurity/JSSE_Fortify_SCA_RulesAuthorAndreaScaduto|评论关闭|分享文章分享文章标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则Fortify软件强化产品包括静态应用程序安全测试[11]和动态应用程序安全测试[12]产品，源代码审计工具fortify扫描，以及在软件应用程序生命周期内支持软件安全保障或可重复和可审计的安全行为的产品和服务。13]2011年2月，Fortify还宣布了FortifyOnDemand，一个静态和动态的应用程序测试服务。[14]静态代码分析工具列表HPWebInspect惠普新闻稿：“惠普完成Fortify软件的收购，加速应用程序生命周期安全”2010年9月22日。跳转软件搜索安全漏洞（英文），PCWorld.com，2004年4月5日2004年4月5日，跳起来加强软件的新方法跳起来^桑德，保罗;贝克，莉安娜B.（08-09-08）。“惠普企业与MicroFocus软件资产交易达88亿美元。”路透社。已取消2010-09-13跳起来^“开源社区的质量和解决方案”于2016年3月4日在Wayback机上归档。跳起来^“软件安全错误”归档2012年11月27日，在Wayback机。跳起来“JavaScript劫持”于2015年6月23日在Wayback机上存档。跳起来^“通过交叉构建注入攻击构建”跳起来“看你所写的：通过观察节目输出来防止跨站脚本”跳起来^“动态污染传播”跳起来强化SCA跳起来^FortifyRuntime惠普强化治理跳高^SDTimes，“惠普建立了安全即服务”2011年2月15日。源代码审计工具fortify扫描-苏州华克斯信息由苏州华克斯信息科技有限公司提供。“Loadrunner,Fortify,源代码审计,源代码扫描”选择苏州华克斯信息科技有限公司，公司位于：苏州工业园区新平街388号，多年来，华克斯坚持为客户提供好的服务，联系人：华克斯。欢迎广大新老客户来电，来函，亲临指导，洽谈业务。华克斯期待成为您的长期合作伙伴！)