SonarQube + find-sec-bugs插件进行代码审计

# 下载，从这里开始应该使用普通用户操作
wget https://binaries.sonarsource.com/Distribution/sonarqube/sonarqube-7.3.zip

# 解压
unzip sonarqube-7.3.zip && cd sonarqube-7.3/

# 修改配置文件
vim ./conf/sonar.properties
# 取消注释如下三行，并添加数据库账号密码

sonar.jdbc.username=root
sonar.jdbc.password=password

sonar.jdbc.url=jdbc:mysql://localhost:3306/sonar?useUnicode=true&characterEncoding=utf8&rewriteBatchedStatements=true&useConfigs=maxPerformance&useSSL=false


# 如果java环境是配置安装的，需要指定java环境：vim sonarqube-7.7/conf/wrapper.conf

# 启动sonarqube
./bin/linux-x86-64/sonar.sh start

# 访问：http://10.10.10.12:9000/sessions/new
# 账号：admin 密码：admin

# 重启服务
./bin/linux-x86-64/sonar.sh restart

参考：

• https://bloodzer0.github.io/ossa/application-security/code-audit/sonarqube/

安装完成之后，在WEB界面点击“分析新项目”，

在需要扫描的项目下执行：

mvn sonar:sonar   -Dsonar.host.url=http://192.168.85.129:9000   -Dsonar.login=eb3f1c1e1e19785a2b65ffbf96a6b80491bb92ae

分析完成之后：

然后使用它生成的url去访问，查看分析报告：

报告不咋样，安装find-sec-bugs插件：

如果网络不稳（插件地址在github的aws上），手动安装插件需要将jar包放到extensions/plugins目录下，进入这个目录可以看到之前下载的中文包插件已经安装在这里了：