Java代码审计工具Fortify2023

吉祥知识星球http://mp.weixin.qq.com/s?__biz=MzkwNjY1Mzc0Nw==&mid=2247485367&idx=1&sn=837891059c360ad60db7e9ac980a3321&chksm=c0e47eebf793f7fdb8fcd7eed8ce29160cf79ba303b59858ba3a6660c6dac536774afb2a6330#rd

《网安面试指南》

《Java代码审计》

《Web安全》

《应急响应》

《护网资料库》

fortify-2023

下载地址：

Fortify-2023 提取码: 0x7j

windows：链接: 百度网盘下载 提取码: f4gb

mac：链接:

百度网盘 请输入提取码

提取码: 9xey

安装步骤：

一、解压补丁压缩包，把fortify.license和Fortify_SCA_23.1.0_windows_x64.exe、Fortify_Apps_and_Tools_23.1.0_windows_x64.exe
放在同一目录，不要有中文。
二、安装Fortify_SCA_23.1.0_windows_x64.exe，程序会自动找到fortify.license授权文件
三、安装Fortify_Apps_and_Tools_23.1.0_windows_x64.exe，程序会自动找到fortify.license授权文件
四、把fortify-common-23.1.0.0028.jar分别拷贝到 C:\Program Files\Fortify\Fortify_SCA_23.1.0\Core\lib\
和C:\Program Files\Fortify\Fortify_Apps_and_Tools_23.1.0\Core\lib\ 下替换覆盖掉原来的
五、解压FortifyRules_zh_CH_2023.1.1.0001(离线规则库).zip 规则库，把ExternalMetadata和rules文件夹拷贝到C:\Program Files\Fortify\Fortify_SCA_23.1.0\Core\config 下
六、运行C:\Program Files\Fortify\Fortify_Apps_and_Tools_23.1.0\bin 下的auditworkbench.cmd 即可开启GUI界面
七、根据需要配置扫描即可

fortify-2022

Fortify下载链接【带license】：

链接:

百度网盘 请输入提取码

提取码: xgn9

1、介绍

Fortify是一款商业级的静态应用程序安全性测试 (SAST) （源码扫描）工具。其工作示意图如下所示：

其大致扫描原理是：扫描分析分为两个阶段：Translation和Analysis。

• Translation: 源码词法分析/语义分析，把各种扫描语言源码转为一种统一的中间语言代码（中间表现形式）。
• Analysis: 再对中间表现形式进行安全性分析。

2、安装部署

安装：.exe安装程序双击运行，安装过程中选择license ，安装完成后，最后一个关于软件更新的选项不进行勾选。安装完成后将fortify-common-20.1.1.0007.jar包复制到Fortify安装目录的\Core\lib目录下进行破解，然后需要把 rules 目录的规则文件拷贝到安装目录下的 Core\config\rules 的路径下（该路径下保存的是Fortify的默认规则库）。

运行：点击安装目录\bin目录下的auditworkbench.cmd运行Fortify。运行页面如下所示：

3、 扫描测试

点击Advanced Scan -> 选择待扫描的项目 -> 做些简单配置（参见下图） -> 点击“scan”开始扫描：

扫描完成截图如下所示：