FortifySCA服务概述软件源代码是软件需求、设计和实现的终载体，源代码安全风险评估发现代码构造期间引入实现级别的安全漏洞，fortify版本，并为这些编码错误建议补救措施。源代码安全风险评估对现有代码库进行分析，并对导致安全漏洞的代码构造进行定位。包括但不限于OWASPTop10、PCI、CWE、CVE、SANS20、SOX等国际组织公布的软件安全漏洞。我们的安全团队将静态分析工具和手动审查相结合来尽可能揭示所有的可能存在的安全漏洞。Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用允许所有的行动应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnectionAPI和一个低级SSLSocketAPI。HttpsURLConnectionAPI默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。HostnameVerifierallHostsValid=newHostnameVerifier（）{publicbooleanverify（Stringhostname，SSLSessionsession）{返回真}};SSLSocketAPI不开箱即可执行主机名验证。以下代码是Java8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。privatevoidcheckTrusted（X509Certificate[]chain，StringauthType，SSLEngineengine，源代码审计工具fortify版本，booleanisClient）throwsCertificateException{...StringidentityAlg=engine.getSSLParameters（）。getEndpointIdentificationAlgorithm（）;if（identityAlg！=null&&identityAlg.length（）！=0）{checkIdentity（session，chain[0]，identityAlg，isClient，getRequestedServerNames（发动机））;}...}当SSL/TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。这种记录的行为被掩埋在JSSE参考指南中：“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭FortifySCA支持系统平台，能扫描的语言种类是的。FortifySCA能全mian地（五个层面）分析源代码中存在的问题。FortifySCA能够扫描出来350多种漏洞，源代码扫描工具fortify版本，拥有目前业界权wei的安全规则库，与世界同步。FortifySCA的测试扫描速度快，约1分钟1万行。FortifySCA提供了强大的审计平台和详细的漏洞信息。FortifySCA提供了漏洞的详细中文说明和相应的修复建议。FortifySCA操作简单，使用方便，易用，界面设计人性化。FortifySCA获得多项国际大奖，目前市场占有率第yi。FortifySCA是唯yi一个被国内多家安全测评机构所认可并使用的代码安全测试产品。FortifySCA在600多家客户，在国内也有30多家客户，丰富的实施经验，国内拥有的服务团队和售后支持团队。华克斯信息-源代码扫描工具fortify版本由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是一家从事“Loadrunner,Fortify,源代码审计,源代码扫描”的公司。自成立以来，我们坚持以“诚信为本，稳健经营”的方针，勇于参与市场的良性竞争，使“Loadrunner,Fortify,Webinspect”品牌拥有良好口碑。我们坚持“服务至上，用户至上”的原则，使华克斯在行业软件中赢得了客户的信任，树立了良好的企业形象。特别说明：本信息的图片和资料仅供参考，欢迎联系我们索取准确的资料，谢谢！)