Fortify审计界面概述
下图显示了“Auditing（审计）”界面中的 Webgoat FPR 文件示例。
Audit Workbench 界面：
Audit Workbench 界面由以下几个面板组成：
“Issues（问题）”面板
“Analysis Trace（分析跟踪）”面板
“Project Summary（项目摘要）”面板
“Source Code Viewer（源代码查看器）”面板
“Function（函数）”面板
“Issue Auditing（问题审计）”面板
“Issues（问题）”面板
使用 Issues（问题）面板，您可以对希望审计的问题进行分组和选择。该面板由下列元素组成：
“Filter Set（过滤器组）”下拉列表
“Folders（文件夹）”选项卡
Group by（分组方式）
“Search（搜索）”框
Fortify扫描漏洞解决方案
Log Forging漏洞
1.数据从一个不可信赖的数据源进入应用程序。 在这种情况下，数据经由getParameter()到后台。
2. 数据写入到应用程序或系统日志文件中。 这种情况下，数据通过info() 记录下来。为了便于以后的审阅、统计数据收集或调试，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，审阅日志文件可在必要时手动执行，也可以自动执行，即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息。如果攻击者可以向随后会被逐字记录到日志文件的应用程序提供数据，则可能会妨碍或误导日志文件的解读。的情况是，源代码扫描工具fortify服务商，攻击者可能通过向应用程序提供包括适当字符的输入，fortify服务商，在日志文件中插入错误的条目。如果日志文件是自动处理的，那么攻击者可以破坏文件格式或注入意外的字符，从而使文件无法使用。更阴险的攻击可能会导致日志文件中的统计信息发生偏差。通过或其他方式，受到破坏的日志文件可用于掩护攻击者的跟踪轨迹，甚至还可以牵连第三方来执行恶意行为。糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理实用程序中的漏洞。
Fortify自定义规则
1). 在fortify SCA安装的bin目录下找到打开自定义规则编辑器，CustomRulesEditor.cmd，如下图所示：
2). 打开编辑器后，选择File ——>Generate Rule，弹出规则向导框。
3). 自定义规则模板可以按照漏洞类型(Category)和规则类型（Rule Type）进行分类，不管是何种方式分类，这些模板大体上分为，数据污染源tainted规则，数据控制流规则，数据传递规则，以及漏洞缺陷爆发的sink规则。只要理解了这些规则模板，和开发语言的函数特征，建立规则就简单了。
4) .选择规则包语言，点击next，源代码检测工具fortify服务商，然后填写报名，类名，函数名
5). 点击next，设置sink点
华克斯信息-源代码检测工具fortify服务商由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司为客户提供“Loadrunner,Fortify,源代码审计,源代码扫描”等业务，公司拥有“Loadrunner,Fortify,Webinspect”等品牌，专注于行业软件等行业。，在苏州工业园区新平街388号的名声不错。欢迎来电垂询，联系人：华克斯。