fortify扫描-苏州华克斯公司

fortify扫描漏洞解决方案

log forging漏洞

1.数据从一个不可---的数据源进入应用程序。 在这种情况下，数据经由getparameter()到后台。

2. 数据写入到应用程序或系统日志文件中。 这种情况下，数据通过info() 记录下来。为了便于以后的审阅、统计数据收集或调试，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，审阅日志文件可在---时手动执行，fortify扫描，也可以自动执行，即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息。如果攻击者可以向随后会被逐字记录到日志文件的应用程序提供数据，源代码检测工具fortify扫描，则可能会妨碍或误导日志文件的---。的情况是，攻击者可能通过向应用程序提供包括适当字符的输入，在日志文件中插入错误的条目。如果日志文件是自动处理的，那么攻击者可以破坏文件格式或注入意外的字符，从而使文件无法使用。更阴险的攻击可能会导致日志文件中的统计信息发生偏差。通过或其他方式，受到破坏的日志文件可用于掩护攻击者的---轨迹，甚至还可以牵连第三方来执行---行为。糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理实用程序中的漏洞。

fortify sca快速入门

规则库导入：

所有的扫描都是基于规则库进行的，因此，建立扫描任务的前提条件就是你需要把检查规则拷贝到hp_fortify﹨hp_fortify_sca_and_apps_3.80﹨core﹨config﹨rules文件夹下，拷贝后便为扫描建立了默认的规则库。另外，你也可以自定义规则，源代码检测工具fortify扫描，这些内容将会在以后逐一介绍。

建立和执行扫描任务：

我们分别通过java、.net c#和c/c++三类不同编程语言项目来介绍如何快速建立和执行扫描任务：

java项目：

fortify sca对于java项目的支持是做得蕞好的，建立扫描入口的路径选择非常多，常用的方法是直接执行hp_fortify﹨hp_fortify_sca_and_apps_3.80﹨bin﹨auditworkbench.cmd，启动审计工作台就可以直接对java项目进行静态扫描；另外也可以使用fortify sca插件，集成嵌入eclipse来完成开发过程中的实时扫描；当然，你也可以使用原生的命令行工具完成全部工作，我们这里介绍一个通用的方法，即利用scanwizard工具导入你的源码项目，通过一系列设置后，会生成一个批处理---文件，通过批处理代替手工输入执行命令进行测试。

使用hp_fortify﹨hp_fortify_sca_and_apps_3.80﹨bin﹨scanwizard.cmd启动scanwizard工具：