fortify安裝使用手冊(cè)-資料下載頁
2025-06-25 19:38本頁面
【正文】 b mybuild c gccCXX=sourceanalyzer b mybuild c g++AR=sourceanalyzer b mybuild c ar 項(xiàng)目的轉(zhuǎn)換與分析示例.sourceanalyzer b my_buildid –c msdev /Make /BUILD .sourceanalyzer b my_buildid –scan –f . 分析 Fortitfy SCA 掃描的結(jié)果1. 審計(jì)結(jié)果的基本概念審計(jì)：將 Fortify SCA 掃描分析出來的結(jié)果中的漏洞進(jìn)行審查，分析，定性，指導(dǎo)開發(fā)人員進(jìn)行漏洞的修復(fù)工作。Hide/Suppress/Suspicious/Not An Issue 四個(gè)的不同Hide: 是將此漏洞不顯示出來，在報(bào)告中也不顯示出來Suppress:是此漏洞不是問題，可以不用看的Suspicious: 是審計(jì)的一個(gè)定性，這個(gè)問題有可能是真的，值得懷疑。Not An Issue: 也是審計(jì)的一個(gè)定性，說明這一漏洞不是個(gè)問題。2. 首先是將掃描結(jié)果導(dǎo)成后綴為 fpr 文件，然后用 Audit WorkBench 打開該文件,界面如下所示產(chǎn)品名稱及版本 用戶使用手冊(cè)第 17 頁 共 5 頁3. 驗(yàn)證測(cè)試結(jié)果的正確性，有效性（包括 application，project ，build information，analysis information）4. 將（Group By）分組方式選擇為按 Category(漏洞種類 )分組，這也是最常用的分組方式，然后在下面對(duì)相應(yīng)的漏洞進(jìn)行定性，審記；所圖所示產(chǎn)品名稱及版本 用戶使用手冊(cè)第 18 頁 共 5 頁5. 可以跟蹤該漏洞產(chǎn)生的全路徑，有兩種方式跟蹤，建議采用第二種圖表方式，比較直觀；產(chǎn)品名稱及版本 用戶使用手冊(cè)第 19 頁 共 5 頁6. 選擇下面選項(xiàng)卡中 Detail,Remandation，可以獲得相應(yīng)的漏洞的詳細(xì)說明，以及推薦的解決辦法；如圖所示：7. 導(dǎo)出經(jīng)過審計(jì)，定性的掃描結(jié)果的報(bào)表，可以有兩種格式，一種是 HTML，一種是PDF；如圖所示：產(chǎn)品名稱及版本 用戶使用手冊(cè)第 20 頁 共 5 頁產(chǎn)品名稱及版本 用戶使用手冊(cè)第 21 頁 共 5 頁4．故障修復(fù) 使用日志文件去調(diào)試問題當(dāng)你在運(yùn)行Fortify SCA 的時(shí)候，如果遇到了警告或者問題，可以使用debug 選項(xiàng)再次運(yùn)行Fortify SCA。 的文件。? 在Windows 平臺(tái)上： C:\Documents and Settings\username\LocalSettings\Application Data\Fortify\sca\log? 在其它的平臺(tái)上： $HOME/.fortify/ 轉(zhuǎn)換失敗的信息如果你的 C/C++ 應(yīng)用程序能夠成功構(gòu)建，但是當(dāng)使用 Fortify SCA 來進(jìn)行構(gòu)建的時(shí)候卻發(fā)現(xiàn)一個(gè)或者多個(gè)“轉(zhuǎn)換失敗”的信息，這時(shí)你需要編輯install_directory/Core/config/ 文件來修改下面的這些行：= remove_unneeded_entities suppress_vtblto=w remove_unneeded_entities suppress_vtbl重新執(zhí)行構(gòu)建，打印出轉(zhuǎn)換器遇到的錯(cuò)誤。如果輸出的結(jié)果表明了在你的編譯器和 Fortify 轉(zhuǎn)換器之間存在沖突 的轉(zhuǎn)換失敗如果在 Fortify SCA 轉(zhuǎn)換 JSP 文件到 Java 文件以便進(jìn)行分析的過程中，你的 JSP 分解器遇到問題，你很可能會(huì)看到和下面這個(gè)很像的信息：? Failed to parse jsps in: directory_name where directory_name is the directory containing the JSP files? Unexpected exception while parsing ..想獲得更多關(guān)于這個(gè)問題的信息，請(qǐng)執(zhí)行以下步驟：1. 使用debug 選項(xiàng)運(yùn)行 sourceanalyzer。2. 使用編譯器打開日志文件。3. 查找字符串 Invoking jsp parser:。4. 下拉到包含classpath 的那一行。5. 確保classpath 變量包含了所有所要求的 jars 文件和用來解析類、標(biāo)簽庫(kù)、實(shí)體和其它你的 JSP 用到的文件的目錄。如果錯(cuò)誤信息和 NoClassDefFoundError 或者標(biāo)簽庫(kù)有關(guān)，確保需要的 jar 文件也在 WEBINF/lib 目錄下。6. 在包含 classpath 變量的那一行的再下面的幾行中，你應(yīng)該能夠看見標(biāo)有 Jsp parserstdout: 的行。這一行包含了從 JSP 解析器中輸出的錯(cuò)誤信息，這應(yīng)該給出了到底是什么發(fā)生了錯(cuò)誤的提示。產(chǎn)品名稱及版本 用戶使用手冊(cè)第 22 頁 共 5 頁7. 添加需要用來修復(fù)在第 5 和第 6 步中所找到問題的一些 classpath 附加條目。8. 重新運(yùn)行 sourceanalyzer。 C/C++ 預(yù)編譯的頭文件一些 C/C++ 編譯器支持一種叫做“預(yù)編譯頭文件”的特性，它可以用來加速編譯過程。一些編譯器對(duì)這種特性的執(zhí)行會(huì)產(chǎn)生微妙的副作用。當(dāng)這個(gè)特性被激活的時(shí)候，編譯器可能會(huì)不經(jīng)過警告或者報(bào)錯(cuò)就接受錯(cuò)誤的源代碼。這可能導(dǎo)致這種矛盾，即使你的編譯器沒有執(zhí)行， Fortify SCA 也會(huì)報(bào)告轉(zhuǎn)換錯(cuò)誤。如果你使用你編譯器的預(yù)編譯頭文件特性，就要首先確保你的源代碼通過廢除預(yù)編譯頭文件特性并執(zhí)行一個(gè)完整構(gòu)建而干凈地執(zhí)行
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1