源代码检测工具fortify规则-华克斯-fortify规则

Fortify扫描漏洞解决方案

Log Forging漏洞

1.数据从一个不可信赖的数据源进入应用程序。 在这种情况下，数据经由getParameter()到后台。

2. 数据写入到应用程序或系统日志文件中。 这种情况下，数据通过info() 记录下来。为了便于以后的审阅、统计数据收集或调试，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，fortify规则，审阅日志文件可在必要时手动执行，也可以自动执行，即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息。如果攻击者可以向随后会被逐字记录到日志文件的应用程序提供数据，则可能会妨碍或误导日志文件的解读。的情况是，攻击者可能通过向应用程序提供包括适当字符的输入，在日志文件中插入错误的条目。如果日志文件是自动处理的，源代码检测工具fortify规则，那么攻击者可以破坏文件格式或注入意外的字符，从而使文件无法使用。更阴险的攻击可能会导致日志文件中的统计信息发生偏差。通过或其他方式，受到破坏的日志文件可用于掩护攻击者的跟踪轨迹，甚至还可以牵连第三方来执行恶意行为。糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理实用程序中的漏洞。

Fortify SCA规则定义

Fortify sca主要对中间代码进行了数据流分析、控制流分析、代码结构分析、内容和配置文件分析。1.新建规则这里以fortify安装目录下自带的php示例代码(Samples﹨basic﹨php)为例:

我们在缺陷代码基础上增加了validate函数去做安全净化处理，fortify sca不能识别这个函数的作用。

在函数上右键点击弹出write rules for this function，我们接下来通过图形界面创建数据流跟踪的净化规则

再次扫描后我们发现fortify sca已经可以识别我们自定义的validate函数

另外新建规则还可以使用fortify自带的自定义用户规则向导，可以通过图形化方式配置40多种规则类型。当然如果还有更高的规则定制要求，源代码审计工具fortify规则，就在向导生成的xml基础上进一步更新吧。

进行安全扫描_Fortify Sca自定义扫描规则

前言代码安全扫描是指在不执行代码的情况下对代码进行评估的过程。代码安全扫描工具能够探查大量“if——then——”的假想情况，源代码检测工具fortify规则，而不必为所有这些假想情况经过必要的计算来执行这些代码。

那么代码安全扫描工具到底应该怎么使用？以下是参考fortify sca的作者给出的使用场景：

常规安全问题(如代码注入类漏洞)这块，目前的fortify sca规则存在较多误报，通过规则优化降低误报。而在特定安全问题上，越来越多的合规要求需要满足(如等保、国信办、银保监要求)，自带的扫描规则肯定检测不到这些问题，需要自定义扫描规则，从合规的角度来展示安全风险。常规安全问题误报优化目前开发人员反馈蕞多的问题是：代码安全扫描工具误报较多，我们先看下代码安全安全分析的过程，如下图示：

源代码检测工具fortify规则-华克斯-fortify规则由苏州华克斯信息科技有限公司提供。“Loadrunner,Fortify,源代码审计,源代码扫描”选择苏州华克斯信息科技有限公司，公司位于：苏州工业园区新平街388号，多年来，华克斯坚持为客户提供好的服务，联系人：华克斯。欢迎广大新老客户来电，来函，亲临指导，洽谈业务。华克斯期待成为您的长期合作伙伴！