Fortify、Checkmarx（代码审计）

目录

一、Fortify介绍

1、Fortify简介

2、Fortify原理

3、Fortify SCA引擎介绍：

4、Fortify支持语言

二、Fortify下载

三、Fortify安装

1、双击exe文件

2、点击next 

3、同意协议，点击下一步

​编辑4、选择安装路径、点击下一步

5、选择组件、点击下一步 

6、选择license、点击下一步

7、选择更新服务器，这里可以不用填写

8、移除之前版本选择No

​编辑

9、安装实例代码项目选择No

10、准备安装、点击下一步 

11、等待安装中 

12、安装完成、点击Finish及完成安装

13、替换jar包

14、添加rules和ExternalMetadata

15、运行fortify

16、提示是否更新规则，我们选No

17、打开后界面如下 

四、修改语言为中文 

1、运行scapostinstall.cmd修改为中文

1. 运行scapostinstall.cmd

2. 选择设置

3. 选择常规设置

4. 选择本地的

5. 选择中文

6. 退出设置面板

2、直接再fortify前端面板修改设置

1. 进入选项

2. 选择语种

五、Fortify简单扫描并导出报告

1、打开工作台

2、选择静态代码所在目录，进行扫描

scan

3、扫描完成

​编辑

4、导出报告

5、查阅报告

六、相关资源

第38篇：Checkmarx代码审计/代码检测工具的使用教程

 Part1 前言 

 Part2 安装过程 

Part3 使用客户端进行代码扫描 

Part4 使用Web界面代码扫描 

 Part5 总结 

---

一、Fortify介绍

1、Fortify简介

Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。

2、Fortify原理

首先通过调用语言的编译器或者解释器把前端的语言代码（如JAVA，C/C++源代码）转换成一种中间媒体文件NST（Normal Syntax Tree），将其源代码之间的调用关系，执行环境，上下文等分析清楚。
通过分析不同类型问题的静态分析引擎分析NST文件