源代码检测工具fortify代理商-华克斯

Fortify扫描Qt项目

Fortify对于C++类型的代码扫描需要结合编译指令实现，但Fortify支持的C++指令并不多，所以有些类似使用Qt工具开发的项目就需要做一定调整来适配Foritfy的扫描。使用gcc或者cl级别的命令来实现会很麻烦，因为需要对于Qt的qmake工具运行逻辑有一定深入分析，熟知其生成的Makefile以来的环境和make工具，难度较大，所以更建议以Visual Studio的Fortify插件为入口，先将Qt项目转成Visual Studio项目，再使用插件扫描，这样就会容易很多。

我们简单介绍一下流程:

1、在Visual Studio中安装Qt Visual Studio Tools插件和Fortify插件。

2、在Qt插件的Qt Opt选项中配置编译套件，该套件位置可以在Qt对应版本下面，比如Qt﹨Qt5.12.8﹨5.12.8﹨msvc2017。

3、使用Qt插件的Open Qt Project File (.pro)...打开对应的Qt项目，并使用插件的Convert custom build steps to Qt/MSBuild选项，将项目转成vs项目，并生成对应的.vcsproj文件。

测试能成功运行后，就可以使用Fortify进行扫描了。步骤类似与上面的Android项目，即可生成对应的fpr文件。另外，如果想要使用命令来自动化的进行项目扫描，但不知道一个类型的项目如何进行适配，fortify代理商，可以解压使用插件生成的fpr文件。查看其中audit.fvdl文件中的sun.java.command属性内容，里面包含了该项目生成扫描中间文件的指令参数，可以参考了解如何配置自动化的扫描平台。

Fortify SCA 扫描

Fortify SCA 的结果文件为.FPR文件，源代码扫描工具fortify代理商，包括详细的漏洞信息：漏洞分类，漏洞产生的全路径，漏洞所在的源代码行，漏洞的详细说明及修复建议等。

1、首先清除上一次扫描的缓存：

sourceanalyzer -b SCG-AuthCenter -clean

2、扫描、编译源码，需要执行依赖的jar包文件和源文件：

sourceanalyzer -encoding UTF-8 -Xmx1024M -b  DMC  -cp "D:/code/cct/DMC/src/main/webapp/WEB-INF/lib/**/*.jar" -source 1.6 "D:/code/cct/DMC/src/main/java/**/*.java"

3、生成fpr文件：

4、生成pdf文件：

Fortify内存注意事项

默认情况下，源代码审计工具fortify代理商，Fortify SCA 蕞多可使用 600 MB 的内存。如果该内存仍不能满足分析某个特定代码库的需要，您可能需要在扫描阶段提供更多的内存。这可以通过在 sourceanalyzer 命令中使用 -Xmx 选项来实现。

例如，要让 Fortify SCA 可用的内存达到 1000 MB ，可在命令中包含 -Xmx1000M 选项。

注意：为 Fortify SCA 分配的内存不应高于计算机本身的可用内存，因为这样会降低性能。指导原则是在没有运行其他内存密集型程序的情况下，分配的内存不能超过 2/3 的可用物理内存。