fortify安裝使用手冊(參考版)
2025-06-28 19:38本頁面
【正文】 。這可能導(dǎo)致這種矛盾，即使你的編譯器沒有執(zhí)行， Fortify SCA 也會(huì)報(bào)告轉(zhuǎn)換錯(cuò)誤。一些編譯器對(duì)這種特性的執(zhí)行會(huì)產(chǎn)生微妙的副作用。8. 重新運(yùn)行 sourceanalyzer。這一行包含了從 JSP 解析器中輸出的錯(cuò)誤信息，這應(yīng)該給出了到底是什么發(fā)生了錯(cuò)誤的提示。如果錯(cuò)誤信息和 NoClassDefFoundError 或者標(biāo)簽庫有關(guān)，確保需要的 jar 文件也在 WEBINF/lib 目錄下。4. 下拉到包含classpath 的那一行。2. 使用編譯器打開日志文件。? 在Windows 平臺(tái)上： C:\Documents and Settings\username\LocalSettings\Application Data\Fortify\sca\log? 在其它的平臺(tái)上： $HOME/.fortify/ 轉(zhuǎn)換失敗的信息如果你的 C/C++ 應(yīng)用程序能夠成功構(gòu)建，但是當(dāng)使用 Fortify SCA 來進(jìn)行構(gòu)建的時(shí)候卻發(fā)現(xiàn)一個(gè)或者多個(gè)“轉(zhuǎn)換失敗”的信息，這時(shí)你需要編輯install_directory/Core/config/ 文件來修改下面的這些行：= remove_unneeded_entities suppress_vtblto=w remove_unneeded_entities suppress_vtbl重新執(zhí)行構(gòu)建，打印出轉(zhuǎn)換器遇到的錯(cuò)誤。2. 首先是將掃描結(jié)果導(dǎo)成后綴為 fpr 文件，然后用 Audit WorkBench 打開該文件,界面如下所示產(chǎn)品名稱及版本 用戶使用手冊第 17 頁 共 5 頁3. 驗(yàn)證測試結(jié)果的正確性，有效性（包括 application，project ，build information，analysis information）4. 將（Group By）分組方式選擇為按 Category(漏洞種類 )分組，這也是最常用的分組方式，然后在下面對(duì)相應(yīng)的漏洞進(jìn)行定性，審記；所圖所示產(chǎn)品名稱及版本 用戶使用手冊第 18 頁 共 5 頁5. 可以跟蹤該漏洞產(chǎn)生的全路徑，有兩種方式跟蹤，建議采用第二種圖表方式，比較直觀；產(chǎn)品名稱及版本 用戶使用手冊第 19 頁 共 5 頁6. 選擇下面選項(xiàng)卡中 Detail,Remandation，可以獲得相應(yīng)的漏洞的詳細(xì)說明，以及推薦的解決辦法；如圖所示：7. 導(dǎo)出經(jīng)過審計(jì)，定性的掃描結(jié)果的報(bào)表，可以有兩種格式，一種是 HTML，一種是PDF；如圖所示：產(chǎn)品名稱及版本 用戶使用手冊第 20 頁 共 5 頁產(chǎn)品名稱及版本 用戶使用手冊第 21 頁 共 5 頁4．故障修復(fù) 使用日志文件去調(diào)試問題當(dāng)你在運(yùn)行Fortify SCA 的時(shí)候，如果遇到了警告或者問題，可以使用debug 選項(xiàng)再次運(yùn)行Fortify SCA。Hide/Suppress/Suspicious/Not An Issue 四個(gè)的不同Hide: 是將此漏洞不顯示出來，在報(bào)告中也不顯示出來Suppress:是此漏洞不是問題，可以不用看的Suspicious: 是審計(jì)的一個(gè)定性，這個(gè)問題有可能是真的，值得懷疑。這些工具在 makefile 中一個(gè)特殊變量中被特別指明，如以下范例所示：CC=gccCXX=g++產(chǎn)品名稱及版本 用戶使用手冊第 16 頁 共 5 頁AR=ar這個(gè)步驟可以像這些 makefile 里提及的的工具、Fortify SCA，和一些適當(dāng)選項(xiàng)一樣簡單。許多 Java 構(gòu)造工具，包括Ant，都以這種方式運(yùn)行。比如，結(jié)合一個(gè)名為 dobuild 的構(gòu)建腳本，添加以下到 里去： =注意: Fortify touchless build adapter 會(huì)表現(xiàn)異常，如果：? 構(gòu)建腳本給編譯器調(diào)用了一個(gè)完整路徑，或者如果構(gòu)建腳本拒絕可執(zhí)行搜索路徑。 部分。任何一個(gè)執(zhí)行編譯器處理的構(gòu)建命令可以被用到系統(tǒng)里去；只要拿去運(yùn)行一個(gè)構(gòu)建的命令來替代以上命令中的39。注意 makefile 不會(huì)被修改。產(chǎn)品名稱及版本 用戶使用手冊第 15 頁 共 5 頁C 和 C++ 命令行舉例以下是一些簡單的可用范例：使用 gcc 編譯器，翻譯一個(gè)名為 的文件，鍵入：sourceanalyzer b my_buildid gcc 結(jié)合 Make你可以使用以下方法中的其中一項(xiàng)去結(jié)合 Make 使用 Fortify SCA：? 無入侵式的集成? 入侵式的集成(修改一個(gè) Makefile 去調(diào)用 Fortify SCA)使用無入侵式的集成，運(yùn)行以下命令：sourceanalyzer b buildid makeFortify SCA 運(yùn)行 make 命令。比 gcc 或者是 cl。因此，在項(xiàng)目中運(yùn)行分析之前，你應(yīng)該首先編譯項(xiàng)目產(chǎn)生類文件。你可以和 Fortify SCA 一起使用 FindBugs，結(jié)果會(huì)被合并到分析結(jié)果文件中。為了支持它， Fortify SCA 提供了以下命令行選項(xiàng)：? appserver 支持變量：weblogic/websphere? appserverhome有關(guān) Weblogic：到目錄的路徑包含 server/lib 目錄有關(guān) WebSphere：到目錄的路徑包含 bin/JspBatchCompiler 腳本? appserverversion 支持變量：Weblogic 版本 7 和 8產(chǎn)品名稱及版本 用戶使用手冊第 14 頁 共 5 頁WebSphere 版本 6如果你在使用一個(gè)沒有被列出來的應(yīng)用程序服務(wù)器，使用默認(rèn)內(nèi)部 Fortify J
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1