华克斯信息-fortify报告中文插件

Fortify SCA如何使用！

安装fortify之后，打开

界面：

选择扫描

他问要不要更新？ 如果你购买了可以选择YES。

选择之后出现如下界面

浏览意思是：扫描之后保存的结果保存在哪个路径。

然后点击下一步。

参数说明：

1、enable clean :把上一次的扫描结果清楚，除非换一个build ID，源代码扫描工具fortify报告中文插件，不然中间文件可能对下一次扫描产生影响。

2、enable translation: 转换，把源码代码转换成nst文件

3、64： 是扫描64位的模式，sca默认扫描是32位模式。

4、-Xmx4000m:4000M大概是4G，制定内存数-Xmx4G ：也可以用G定义这个参数建议加

5、-encoding: 定制编码，UTF-8比较全，源代码审计工具fortify报告中文插件，工具解析代码的时候字符集转换的比较好，建议加，如果中文注释不加会是乱码。

6、-diable-source-:rendering:不加载与漏洞无关的代码到审计平台上，不建议加，这样代码显示不全。

Fortify常见问题解决方法

内存不足问题

在应用Fortify SCA实施源代码扫描过程中内存不足是分析器（sourceanalyzer）经常报出的一类问题，fortify报告中文插件，如下：

扫描过程中：

1、com.fortify.sca.analyzer.AbortedException: There is not enough memory available

2、to complete analysis.  For details on making more memory available；

There were 3 problems with insufficient memory. Results may be incomplete.

因此，我们必须对JVM参数进行调整，增加虚拟器内存大小。

（1）确认安装64位的Fortify SCA程序；（这是一个众所周知的JVM问题，32为虚拟机内存大小及其有限）；

（2）安装一个64位的jre，并将其替换HP_Fortify﹨HP_Fortify_SCA_and_Apps_3.80﹨的jre目录（就算你安装了64位的Fortify SCA程序，该程序默认的jre仍然是32位的）；

Fortify “Project Summary（项目摘要）”面板：

“Project Summary（项目摘要）”面板提供了关于扫描的详细信息。

“Summary（摘要）”选项卡

“Certification（认证）”选项卡

“Build Information（Build 信息）”选项卡

“Analysis Information（分析信息）”选项卡

项目摘要面板

“Summary（摘要）”选项卡：

“Summary（摘要）”选项卡显示了关于本项目的信息。

“Certification（认证）”选项卡：

“Certification（认证）”选项卡显示了结果认证状态。结果认证用于检查 FPR 文件是否与 Fortify SCA 所生成的文件一致。