华中源代码扫描工具fortify服务商来电咨询「在线咨询」徐濠萦个人资料

HPFortifySCA简介

1.软件基本功能

·

安全漏洞检测需拥有目前业界quan威的代码漏洞规则库，能够检测出600种以上的问题

·

支持多种常见编程语言，包括,C,C++,C#,Classic

ASP, Flex/Actionscript,Java,Javascript/AJAX,JSP,Objective

C,PL/SQL,PHP,T-SQL,VB.NET,VBscript,VB6,XML/HTML，Python,

ColdFusion, COBOL, ABAP等语言。

·

支持多种IDE，较好地和现有成熟的软件开发环境集成。如：Visual Studio 2003、2005、2008、2010、2012，Eclipse 2.X、 3.X，WSAD,RAD工具等。

·

支持多种操作系统，即可以安装在所有主流操作系统中，如：Windows、 Linux 、AIX、HP-Unix、 Solaris、Mac OS等。

·

工具生成的测试结果报告文档包含详尽的中文漏洞说明和修复指导建议。

·

工具的技术达到国际ling先水平和地位，有国际/国内权威机构的奖励和证书或对WASC/OWASP组织有重要贡献。在全球ju权威的IT研究咨询机构Gartner的xin报告中，应该位于魔力象限的di一象限业界地位。

fortifySCA优点

从代码的结构方面分析代码，识别代码结构不合理而带来的安全弱点和问题。

·

对多层次、多语言的项目，可以跨层次、跨语言地对整个项目进行分析。找到贯穿在多个层次或者多种语言的安全问题。可以支持Web应用的三层框架多种语言整合测试如JSP/Java/T-SQL 或ASPX/C#/T-SQL。

·

支持检测业界全的安全漏洞，工具能够支持检测的漏洞要能依从于国际权威组织，如美国软件安全漏洞词典CWE、开放式Web应用程序安全项目组织OWASP等

·

漏洞扫描规则支持客户自定义。方便客户添加特殊的扫描需求。同时提供友好的图形化的自定义向导和编辑器，自动生成规则脚本。

Fortify软件

强化静态代码分析器

使软件更快地生产

应用安全

HPE Security Fortify提供端到端应用安全解决方案，具有灵活的测试内部部署和按需来覆盖整个软件开发生命周期。

跨SDLC的应用安全

到2020年，IT将需要每年发布120x应用程序。 随着发展速度的加快，满足这一需求，安全工作就要跟上。 无效安全测试效率低下且无效。 当这种方法与新SDLC的速度，集成和自动化相冲突时，安全性成为创新的障碍。 Fortify解决方案将应用程序安全性作为新的SDLC的自然部分，通过建立安全性实现上市时间。

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书»

强化针对JSSE API的SCA自定义规则滥用

允许所有的行动

应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。

Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。

HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12,800个结果）。

HostnameVerifier allHostsValid = new HostnameVerifier（）{

public boolean verify（String hostname，SSLSession session）{

返回真

}

};

SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。

private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）

throws CertificateException {

...

String identityAlg = engine.getSSLParameters（）。

getEndpointIdentificationAlgorithm（）;

if（identityAlg！= null && identityAlg.length（）！= 0）{

checkIdentity（session，chain [0]，identityAlg，isClient，

getRequestedServerNames（发动机））;

}

...

}

当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。

这种记录的行为被掩埋在JSSE参考指南中：

“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭