Fortify SCA规则定义
Fortify sca主要对中间代码进行了数据流分析、控制流分析、代码结构分析、内容和配置文件分析。1.新建规则这里以fortify安装目录下自带的php示例代码(Samples﹨basic﹨php)为例:
我们在缺陷代码基础上增加了validate函数去做安全净化处理，fortify sca不能识别这个函数的作用。
再次扫描后我们发现fortify sca已经可以识别我们自定义的validate函数
另外新建规则还可以使用fortify自带的自定义用户规则向导，可以通过图形化方式配置40多种规则类型。当然如果还有更高的规则定制要求，就在向导生成的xml基础上进一步更新吧。
Fortify常见问题解决方法
.Net环境匹配问题
由于Fortify SCA版本对于支持.Net环境的版本有限，源代码审计工具fortify sca，比如蕞大支持到Microsoft SDK 7.0A
版本的SDK，如下脚本：
1、echo Searching VS Version....
2、reg QUERY "HKLM﹨SOFTWARE﹨Microsoft﹨Microsoft SDKs﹨Windows﹨v7.0A" 2>NUL >NUL
3、IF %ERRORLEVEL%==0 (
4、set LAUNCHERSWITCHES=-vsversion 10.0 %LAUNCHERSWITCHES%
5、echo Found .NET 4.0 setting to VS version 10.0
6、GOTO VSSELECTED
通过Windows注册表中的SDK信息设置扫描依赖版本；
而且，由于Windows版本和.Net Framework版本的差异，环境上往往需要自己增加许多配置项，蕞常见的配置如下：
（1）SDK版本设置：
比如是8.1版本的，我们可以修改脚本文件：
reg QUERY "HKLM﹨SOFTWARE﹨Microsoft﹨Microsoft SDKs﹨Windows﹨v8.1A" 2>NUL >NUL
（2）ildasm路径设置
Unable to locate ildasm是一个常见问题，在转换中没有寻找到ildasm程序，四川fortify sca，可以通过以下方法设置：
1、fortify-sca.properties文件增加一行com.fortify.sca.IldasmPath=C:﹨Program Files (x86)﹨Microsoft SDKs﹨Windows﹨v8.1A﹨bin﹨NETFX 4.5.1 Tools﹨ildasm（一定是双斜杠）
Foritfy SCA主要包含的五大分析引擎：
数据流引擎：跟踪，记录并分析程序中的数据传递过程所产生的安全问题。
语义引擎：分析程序中不安全的函数，方法的使用的安全问题。
结构引擎：分析程序上下文环境，结构中的安全问题。
控制流引擎：分析程序特定时间，状态下执行操作指令的安全问题。
配置引擎：分析项目配置文件中的敏感信息和配置缺失的安全问题。
特有的X-Tier?：跨跃项目的上下层次，贯穿程序来综合分析问题。
苏州华克斯公司-源代码审计工具fortify sca由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是一家从事“Loadrunner,Fortify,源代码审计,源代码扫描”的公司。自成立以来，我们坚持以“诚信为本，稳健经营”的方针，勇于参与市场的良性竞争，使“Loadrunner,Fortify,Webinspect”品牌拥有良好口碑。我们坚持“服务至上，用户至上”的原则，使华克斯在行业软件中赢得了客户的信任，树立了良好的企业形象。 特别说明：本信息的图片和资料仅供参考，欢迎联系我们索取准确的资料，谢谢！