fortify-华克斯-fortify静态代码测试工具

fortify sca规则定义

fortify sca主要对中间代码进行了数据流分析、控制流分析、代码结构分析、内容和配置文件分析。1.新建规则这里以fortify安装目录下自带的php示例代码(samples﹨basic﹨php)为例:

我们在缺陷代码基础上增加了validate函数去做安全净化处理，fortify sca不能识别这个函数的作用。

再次扫描后我们发现fortify sca已经可以识别我们自定义的validate函数

另外新建规则还可以使用fortify自带的自定义用户规则向导，可以通过图形化方式配置40多种规则类型。当然如果还有更高的规则定制要求，就在向导生成的xml基础上进一步更新吧。

fortify sca 扫描

fortify sca 的结果文件为.fpr文件，包括详细的漏洞信息：漏洞分类，fortify，漏洞产生的全路径，漏洞所在的源代码行，漏洞的详细说明及修复建议等。

1、首先清除上一次扫描的缓存：

source---yzer -b scg-authws= -clean

2、扫描、编译源码，需要执行依赖的jar包文件和源文件：

source---yzer -encoding utf-8 -xmx1024m -b  dmc  -cp d:/code/cct/dmc/src/main/webapp/web-inf/lib/**/*.jar -source 1.6 d:/code/cct/dmc/src/main/java/**/*.java

3、生成fpr文件：

4、生成pdf文件：