Fortify介绍及使用教程

最新推荐文章于 2024-09-06 22:09:44 发布

「已注销」

最新推荐文章于 2024-09-06 22:09:44 发布

阅读量1.4w

点赞数 1

分类专栏：代码质量分析 Fortify 文章标签：编辑器代码规范 java

本文链接： https://blog.csdn.net/qq_40597962/article/details/118490818

版权

Fortify是一个静态的软件源代码安全测试工具，利用数据流、语义等五大分析引擎查找安全漏洞。它支持多种编程语言，如Java、C/C++等。本文介绍了Fortify的工作原理、安装步骤和使用指南，包括选择扫描类型、配置扫描选项、分析结果和导出报告。

摘要由CSDN通过智能技术生成

Fortify介绍及使用教程

简介

Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。

原理

-首先通过调用语言的编译器或者解释器把前端的语言代码（如JAVA，C/C++源代码）转换成一种中间媒体文件NST（Normal Syntax Tree），将其源代码之间的调用关系，执行环境，上下文等分析清楚。
-通过分析不同类型问题的静态分析引擎分析NST文件，同时匹配所有规则库中的漏洞特征，将漏洞抓取出来，然后形成包含详细漏洞信息的FPR结果文件，用AWB打开查看。