Fortify软件
强化静态代码分析器
使软件更快地生产
如何解决Fortify报告的扫描问题
跳到元数据结束
由Matthew Condell创建，由Charles Williams于二零零七年六月二十六日修改，转到元数据的开始
这个页面已经被供应商公开了
图标
题
在扫描我的应用程序时，Fortify报告了错误或警告
源代码扫描工具fortify总代理
Fortify软件
强化静态代码分析器
使软件更快地生产
如何解决Fortify报告的扫描问题
跳到元数据结束
由Matthew Condell创建，由Charles Williams于二零零七年六月二十六日修改，转到元数据的开始
这个页面已经被供应商公开了
图标
题
在扫描我的应用程序时，Fortify报告了错误或警告。如何解决这些错误？
回答
Fortify可能会报告一些不同的错误消息。这里将列出常见的错误消息以及指向其他技术说明的指针，其中提供了有关如何解决这些问题的信息。要检索错误消息列表，请按照“如何查看Fortify报告的错误消息”中的说明进行操作。它也可能有助于生成调试日志文件，可以更好地了解问题。FortifySCA与强化SSC之间的差异FortifySCA和FortifySSC有什么区别。
常见的错误消息及其解决方案包括：
错误代码
错误信息
笔记
N / A分析期间没有发生警告没有发生错误。扫描很好去
N / A执行ASP.NET预编译时出错如何解决“执行ASP.NET预编译时出错”
-1错位的关闭标签[...]此错误可能不会影响扫描结果，但建议检查引用的文件以查看是否有错放的HTML标签。
1001，1381，1554，10000，...
解析文件或语法错误时出错如何解决文件解析或语法错误
1103转换器执行失败。这是Fortify 16.20扫描C＃6 / VB 14代码的一个知识问题。请参阅以下博客文章以获取有关如何处理的信息：Fortify 16.20“C＃6 / VB 14”中的“转换器执行失败”错误
1105，1480没有足够的内存可用来完成分析增加分配给Fortify的内存量：如何增加Fortify进行翻译的内存
1114功能。 。 。对于详尽的数据流分析来说太复杂了，进一步的分析将被跳过（堆栈）如何解决“功能...太复杂”错误
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书
强化针对JSSE API的SCA自定义规则滥用
日期：2017年6月8日上午7:00
在提供GDS安全SDLC服务的同时，我们经常开发一系列定制安全检查和静态分析规则，以检测我们在源代码安全评估中发现的不安全的编码模式。这些模式可以代表特定于正在评估的应用程序，其架构/设计，使用的组件或甚至开发团队本身的常见安全漏洞或的安全弱点。这些自定义规则经常被开发以针对特定语言，并且可以根据客户端使用的或者舒服的方式在特定的静态分析工具中实现 - 以前的例子包括FindBugs，PMD，Visual Studio以及Fortify SCA。Fortify软件强化静态代码分析器使软件更快地生产DevOps的安全状态应用安全和DevOps报告2017阅读更多主要特征高xiao通过帮助开发人员通过增量扫描来提高编程效率，从而提高扫描时间，获得更快的结果，并加快软件投入生产所需的时间。
使用Findbugs审核不安全代码的Scala
为Spring MVC构建Fortify自定义规则
用PMD保护发展
在本博客文章中，我将专注于开发Fortify SCA的PoC规则，以针对基于Java的应用程序，然而，相同的概念可以轻松扩展到其他工具和/或开发语言。
影响Duo Mobile的近漏洞证实了Georgiev等人的分析，他们展示了各种非浏览器软件，库和中间件中SSL / TLS证书验证不正确的严重安全漏洞。
具体来说，在这篇文章中，我们专注于如何识别Java中SSL / TLS API的不安全使用，这可能导致中间人或欺骗性攻击，从而允许恶意主机模拟受信任的攻击。将HP Fortify SCA集成到SDLC中可以使应用程序定期有效地扫描漏洞。我们发现，由于SSL API滥用而导致的问题并未通过开箱即用的规则集确定，因此我们为Fortify开发了一个全mian的12个自定义规则包。在审查主要代码过程中，我们的源代码安全分析人员对代码进行审查来寻找常见安全问题，比如大家熟悉的缓冲区溢出、跨站点脚本，SQL注入等。
HP Fortify静态代码分析器
强化SCA
我开始使用自定义扩展名＃4，并希望自动化Fortify扫描。这是我第yi次真的不确定这应该是什么样的扩展。它是一个源代码控制分析器，所以感觉它应该是一个报告动作，如FxCop或NCover，但本机输出格式“FPR”是一个二进制的blob，显然不适合任何ReportType枚举选项。可以将其输出为可部署，但在概念上听起来错误。在某些情况下，我们可以直接将报告发送到服务器，因此如果您考虑将步骤部署到Fortify服务器，那么只需将其简单地随机部署就不完全不准确。如果您希望定期安排动态扫描，WebInspectEnterprise可以做到这一点。
其他并发zheng在于，强化SCA有时可能非常缓慢，我几乎可以将其作为推广要求，如果我们可以找到一个很好的方式进行后台安排，但是我没有看到任何长时间运行的背景的例子任务在GitHub上的扩展。
这听起来像一个报告行动的好候选人，但使用ZippedHtml选项。虽然该报表输出二进制文件，您可以使用该文件的超链接将一个html文件写入磁盘，并将其用作索引。两者都将包含在zip文件中，并存在于报表中。如果FPR文件很大，hao将其保存在磁盘上，否则它不会保存在数据库中。NET应用程序上的Runtime产品（以前称为RTA），并且可以在运行时执行各种各样的事情（记录/停止攻击等）-1@Keshi现在他们为Jenkins提供插件，并且可以与JIRA集成。
还有一些额外的内置报告操作不在GitHub上;您可以通过反射器或其他东西找到或填写源代码申请表。
当然没有背景行动，但有一个选择可能是...
观看促销已完成事件的触发器
在后台运行报告使用BuildOutputs_AddOutput操作将报告添加到Build
添加促销要求以验证报告已完成
希望有所帮助。我会很好奇看到你想出了什么。
（作者： 来源：）
