【代码审计篇】代码审计工具Fortify基本用法详解

向右看齐 2024-03-27 14:35 180阅读 0赞

#### 文章目录 ####

*  前言
 *  一、工具介绍
 *  二、安装过程
 *  三、升级中文规则库
 *  四、代码审计过程
 *  五、代码审计结果
 *  六、中文乱码解决

--------------------

## 前言 ##

本篇文章讲解代码审计工具Fortify的基本用法，感兴趣的小伙伴可以研究学习一下，文中部分地方可能会有遗漏，麻烦各位大佬指正，深表感谢！！！

--------------------

## 一、工具介绍 ##

Fortify全名叫Fortify SCA ，是惠普公司HP的出品的一款源代码安全测试工具，这家公司也出品过另一款Web漏洞扫描器，叫做 `Webinspect`。美国的`Fortify`、`Coverity`、`Codesecure`、`IBM AppScan Source` 以色列的`Checkmarx`、加拿大的`Klockwork`是现在国际上比较出名的几款代码审计工具，那么接下来就Fortify来介绍一下使用方法。

Fortify代审工具是可以快速上手的，并不是一款傻瓜工具，该工具中有很多自定义操作，还有命令行操作，同时还可以自己编写规则库(`详细的使用说明请参考Fortify的说明书`)。

## 二、安装过程 ##

该工具安装过程较为简单，打开安装包，一直点击 “下一步”，到这里选择`fortify.license`文件  
![在这里插入图片描述][5759a79c4ddb4340b4632875586649aa.png]  
接下来按照默认，一直 “下一步” 即可。  
![在这里插入图片描述][1f0da0a0d0ac44f2aff9556e4d4001b6.png]  
安装完成，打开工具界面，如下所示  
![在这里插入图片描述][b238dd0864524f51ad728939189a309a.png]

## 三、升级中文规则库 ##

如上工具现已安装完成，接下来需要升级一下中文规则库，打开 Audit Workbench 快捷方式，在弹出的gui界面，点击 `Options` 选项，然后点击 `Security Content Management` 选项，点击 `Update Security Content – zh_CN`选项可以升级Fortify的中文规则库。  
![在这里插入图片描述][c910badeb2ee45e3bee5196add8a840c.png]  
出现该弹窗，说明中文规则库升级成功。

如果受license限制，无法升级到最新的规则库，那么可行的方法就是通过其他渠道获取一个最新的中文规则库，手工对 `ExternalMetadata` 及 `rules` 两个文件夹的文件进行替换。

目录位置：`C:\Program Files\Fortify\Fortify_SCA_and_Apps_21.2.3\Core\config`  
![在这里插入图片描述][3c2774a8ff5248e7b2a43e2ec33c83e2.png]  
将最新版的两个文件夹替换，在回软件中看 Security Content Management 配置，Version信息为最新日期即为替换成功。

## 四、代码审计过程 ##

如果是java项目，可直接点击 Scan Java Project选项。  
![在这里插入图片描述][816f2cced11b4bfabdff1a6fa50470ce.png]  
弹窗java version，可以选择web应用的java代码的所在环境的java版本，这里我们选择 `1.8`  
![在这里插入图片描述][1f450f0add394eca96f9595ff66c85ad.png]  
如果扫描对象是Java Web代码，就选择 Yes，如果不是Java Web，就选择 `No`  
其他的选项保持默认即可。  
![在这里插入图片描述][91586c4be0cc4f739853d87dcb496065.png]  
接下来点击 `Scan`，Fortify就开始对代码进行代码审计了。  
![在这里插入图片描述][e3bc190fa03b42cbbb0cc754d73d4d38.png]  
扫描完成后，Fortify工具将扫描结果显示在界面上，如下图所示  
![在这里插入图片描述][618289d5d7ad40cab330ca9e718419f5.png]

## 五、代码审计结果 ##

Fortify的 Diagram 功能非常强大，以图表形式展示源代码中漏洞触发点的从开始到触发的所有过程，我们可以借助此功能，分析是否有过滤函数对漏洞触发的特殊字符进行了过滤。  
![在这里插入图片描述][06e40c16c04f4d5a88d373c6935e0d19.png]  
同时在 Recommendations  这里给出了中文的漏洞修补建议。  
![在这里插入图片描述][a815465f42804bf9a8fc44765b757bfa.png]  
点击 `Group By` 按钮，可以以不同漏洞分类标准对漏洞进行不同的分类展示。  
![在这里插入图片描述][786f303c842a4bad8d6c401a54cb7eee.png]  
如果代审过程中遇到误报，可以选择Hide in AWB  ,对该漏洞结果进行隐藏。  
![在这里插入图片描述][3ed81920fcbd4035b9ff976505c558ba.png]  
当代码完成后，需要生成报告，点击`Tools` \-> `Reports` \-> `Generate BIRT Report/ Generate Legacy` \-> 选择生成报告类型以及导出格式。  
![在这里插入图片描述][c531ff931b804e078b469bb49563a44b.png]  
这个功能导出报告可以作为参考，但是实际代码审计报告还是需要自行编写。

## 六、中文乱码解决 ##

Fortify默认的编码不是UTF-8 ，导致部分中文的Java代码会出现乱码问题，如果是单文件乱码，可以使用 `Edit`选项卡下`Set Encoding` 进行设置，鼠标光标在右侧代码框内点击一下，否则此项功能不能用，但这种方法只适用于单个文件的乱码解决。  
![在这里插入图片描述][33746a55f4384635a04ffdbc4e35c3b0.png]  
点击 Set Encoding  里弹出文本编码框，可看到有不同文本编码可选，中文则选择 `UTF-8` 编码。  
![在这里插入图片描述][98cd201452f545ba88df461ff364142e.png]  
上面刚刚提到这个方法只适用于单个文件，如果想一劳永逸解决乱码问题，需要在Fortify的配置文件中指定java文件的编码了。

在 `C:\Program Files\Fortify\Fortify_SCA_and_Apps_21.2.3\Core\private-bin\awb` 路径下有一个 productlaunch.cmd 的文件。在命令行最后添加 `-Dfile.encoding=utf-8`  
![在这里插入图片描述][6057eef9e5154027a6b6d423be4bc2fe.png]  
编辑保存，重新启动软件即可！！！

--------------------

以上就是代码审计工具Fortify的基本用法，后续会更新Fortify在代码审计中的各种操作以及审计流程。

**本文到此结束，感谢您的观看！！！**

--------------------

[5759a79c4ddb4340b4632875586649aa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/af630a5f61a2465d895ccff2724907f2.png
[1f0da0a0d0ac44f2aff9556e4d4001b6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/5c4ffa1f26564a6ab428f9bdf6bf323b.png
[b238dd0864524f51ad728939189a309a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/f2895838dd6d4a1798c4f49f3a7c1038.png
[c910badeb2ee45e3bee5196add8a840c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/6696bbcfaf80463c8fd316b43239601d.png
[3c2774a8ff5248e7b2a43e2ec33c83e2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/e4e975bc0c4c44b59ba83e0c24fc0b95.png
[816f2cced11b4bfabdff1a6fa50470ce.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/910ab28223c14109afb21228c4c185bb.png
[1f450f0add394eca96f9595ff66c85ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/972b2f9e36494d13910d7ed08ed9cb1d.png
[91586c4be0cc4f739853d87dcb496065.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/e936a3a9d1a64fc499218929aec31ed0.png
[e3bc190fa03b42cbbb0cc754d73d4d38.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/09d7c319ff5b4f59ba9adbf2d5f0c847.png
[618289d5d7ad40cab330ca9e718419f5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/2a96346a395e4f8289af58e4071e6ee8.png
[06e40c16c04f4d5a88d373c6935e0d19.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/85463ed93b1344cba2da1053b49d4c4b.png
[a815465f42804bf9a8fc44765b757bfa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/e5df31dd8d1e4d5c8c725e17c54def98.png
[786f303c842a4bad8d6c401a54cb7eee.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/62df325bb0e948c08a6330127d0e1e0d.png
[3ed81920fcbd4035b9ff976505c558ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/6c1b1c3db0ed4462a94ca9ddb7ffcf48.png
[c531ff931b804e078b469bb49563a44b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/a21cdbe9ee7744ae887aee8e92755f5e.png
[33746a55f4384635a04ffdbc4e35c3b0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/e8d62c073f7c426e8744a258ba7227e9.png
[98cd201452f545ba88df461ff364142e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/51fe13f2f77d4021bfe399c5ead75e31.png
[6057eef9e5154027a6b6d423be4bc2fe.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/27/57c5032fe39246a69d50a2f006c8772e.png