Java安全代码审计介绍及扫描工具Fortify详解

mingzhi61 2023-01-12 23:56:15

课程名称	适应人群
Java安全代码审计介绍及扫描工具Fortify详解	Java开发信息安全爱好者运维渗透工程师

本节课程是为后续Java代码审计课程的铺垫课程，本节课程中详细介绍了什么是Java安全代码审计、Java代码审计需要的前置知识等介绍性的内容，同时也给大家介绍了一款专门用于Java代码审计的扫描工具Fortify，该工具在我们进行代码审计过程中能极大的帮助我们发现代码漏洞所在点，精准的定位和全面的扫描极大的减轻了我们在海量代码审计的工作。

...全文

1904 1 打赏收藏转发到动态举报

写回复

1 条回复

切换为时间正序

请发表友善的回复…

发表回复

hjp_0801 2024-04-16

打赏
举报

回复

在线等 Fortify 下载链接

Fortify 详细安装使用可参考我的文章 [ 代码审计篇 ] Fortify安装及使用详解（一）Fortify安装并设置语言为中文导出中文报告 Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。 Fortify首先通过调用语言的编译器或者解释器把前端的语言代码（如JAVA，C/C++源代码）转换成一种中间媒体文件NST（Normal Syntax Tree），将其源代码之间的调用关系，执行环境，上下文等分析清楚。通过分析不同类型问题的静态分析引擎分析NST文件，同时匹配所有规则库中的漏洞特征，将漏洞抓取出来，然后形成包含详细漏洞信息的FPR结果文件，用AWB打开查看。

Java安全代码审计介绍及扫描工具Fortify详解曾在启明星辰、绿盟科技...

Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。Fortify 支持多种编程语言，包括 Java、C/C++、C#、PHP、JavaScript 等。

Fortify全名叫Fortify SCA ，是惠普公司HP的出品的一款源代码安全测试工具，这家公司也出品过另一款Web漏洞扫描器，叫做 Webinspect。美国的Fortify、Coverity、Codesecure、IBM AppScan Source 以色列的Checkmarx、加拿大的Klockwork是现在国际上比较出名的几款代码审计工具，那么接下来就Fortify来介绍一下使用方法。

Fortify是旗下AST （应用程序安全测试）产品，其产品组合包括：Fortify Static Code Analyzer提供静态代码分析器（SAST），Fortify WebInspect是动态应用安全测试软件（DAST），Software Security Center是软件安全中心（SSC）和 Application Defender 是实时应用程序自我保护（RASP）。Fortify 能够提供静态和动态应用程序安全测试技术，以及运行时应用程序监控和保护功能。

铭智的课程社区_NO_2

2

社区成员

234

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章