Checkmarx代码审计/代码检测工具的使用教程，零基础也能学会！！

于 2024-08-31 17:26:58 发布
阅读量441 收藏 9
点赞数 8
文章标签： Checkmarx代码审计
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiangxue666/article/details/141755600
版权

前言

在安装 Checkmarx 的过程中遇到一点小坑，遂吧整个安装过程记录下来

文件下载

直接访问此处连接进行下载 https://bbs.kanxue.com/thread-274013.htm

【----帮助相关技术学习，以下所有学习资料文末免费领！----】

文件结构

在这里插入图片描述

CheckMarx95CR.exe 为破解工具，其余文件为原版安装程序包

环境要求

本人使用 Windows Server 2022，配置为 8 Core / 16G RAM / 40G HDD 进行测试安装，使用的账户为 Administrator

所有环境需要的安装包均在 third_party 文件夹中

在这里插入图片描述

VC++ 2010-2015 运行库

依次安装 C++Redist 文件夹中的 VC_redist.x64.exe 和 vcredist_x64.exe

IIS 7.0+

在 Windows Server 的服务器管理器中启用 Web服务器(IIS) 角色，无需任何配置

具体过程可参考此链接 https://help.aliyun.com/document_detail/464760.html

ASP.NET Core 6.0.5

安装位于.NET Core - Windows Server Hosting 文件夹中的 dotnet-hosting-6.0.5-win.exe

安装完成后如依然检测不到，需要关闭安装程序后重新打开然后进行检测

MSSQL

个人使用建议安装 MSSQL Express，如在 CI/CD 场景使用建议安装正式的 SQL SERVER

安装位于 SQL_Express 文件夹中的 SQL2019-SSEI-Expr.exe，需要注意安装过程需要全程联网，选择基本安装，之后一路下一步

MSSQL 安装完成后建议一并安装 SQL Server Management Studio (SSMS)，访问 https://aka.ms/ssmsfullsetup 来下载最新版

使用 SSMS 开启 SQL Server 账户认证，即启用 sa 账户，具体过程可参考 https://blog.csdn.net/u010476739/article/details/107393044

后续 CheckMarx 将使用 sa 账户与数据库进行连接

JRE 17

将 Java 文件夹中的 JRE_17.0.3.zip 解压后放置于 C 盘根目录即可，如图所示

在这里插入图片描述

之后点击浏览，选择 C:\JRE_17.0.3 目录，然后点击重新检查必要条件

Step By Step 安装过程

  1. 双击 CxSetup.exe 开始安装

  2. 程序执行后显示如下图界面，选择高级安装

    在这里插入图片描述

  3. 勾选我接受许可协议中的条款，然后点击下一步

    在这里插入图片描述

  4. 如图进行组件选择，然后点击下一步

    在这里插入图片描述

  5. 在安装 CheckMarx 中会检查运行环境，请参照上文环境要求节

    在这里插入图片描述

    所有的依赖组件安装完毕后，点击重新检查必要条件，确保所有组件均为安装，如下图所示，即可进行下一步

    在这里插入图片描述

  6. 填写数据库连接信息，在上文的 MSSQL 安装环节，开启了 MSSQL 的 sa 账户，所以此处直接使用 sa 账户进行测试连接，测试成功后直接点击下一步

    在这里插入图片描述

  7. Message Broker 按照默认配置直接下一步

    在这里插入图片描述

  8. 服务账户设置选择 Network Service账户，然后点击测试用户账户，测试成功后直接点击下一步

    在这里插入图片描述

  9. Engine 无须进行任何配置，直接下一步即可

    在这里插入图片描述

  10. 许可证这里选择请求新的许可证，然后点击下一步

    在这里插入图片描述

  11. 最终安装确认

    在这里插入图片描述

  12. 开始安装

    在这里插入图片描述

  13. 安装完成

    在这里插入图片描述

破解

首先确保 CheckMarx 所有服务均在正常运行，在服务中查看服务运行状态

在这里插入图片描述

之后运行 CheckMarx95CR.exe，直接点击 Crack' IT 进行破解，如下图即为破解完成

在这里插入图片描述

破解完成后再次查看服务，确保框选的服务均为正在运行即可

在这里插入图片描述

在登录后也可以查看授权状态

在这里插入图片描述

配置

设置登录账号密码

双击桌面的 Checkmarx Portal 图标，将会打开浏览器，进行初始账号密码设置

在这里插入图片描述

完成后直接使用刚才设置的账号密码登录即可

在这里插入图片描述

修改为中文

  1. 登录后点击 My Profile

    在这里插入图片描述

  2. Locale 选择 Chinese(Simplified, China), 中文(中国)，然后点击 SAVE 保存

    在这里插入图片描述

  3. 退出 Checkmarx，然后重新登陆，之后界面即显示为中文

    在这里插入图片描述

修改访问域名 / IP

CheckMarx 安装完成后，当使用 IP / 域名访问时候会自动跳转至主机名访问，会影响非本机访问，所以需要按需修改访问域名 / IP

双击安装目录中的 CxPostInstall.exe 来修改访问 IP

程序执行后修改 CxSAST Application URI 为实际需要访问的域名 / IP，如使用域名访问，请确保域名已经完成 A 记录指向，然后点击 Next

在这里插入图片描述

确认配置，其中具体使用 IP 或是域名可按需进行调整，之后点击 Update 更新配置

在这里插入图片描述

更新之后重启服务器，即可完成修改，使得局域网其他客户端直接访问

在这里插入图片描述

原文地址：https://blog.l1n3.net/Tools/checkmarx_install_crack.html

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。 所有渗透都需获取授权！

​

-END-

这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包，需要的小伙伴文末免费领取哦，无偿分享！！！

学习计划安排

学习路线图大纲总览


我一共划分了六个阶段，但并不是说你得学完全部才能上手工作，对于一些初级岗位，学到第三四个阶段就足矣~

【282G】的网络安全从零基础入门到进阶资料包，需要的小伙伴文末免费领取哦，无偿分享！！！

【一一帮助网络安全学习，以下所有资源免费领取一一】
①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）


那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

这部分内容对于咱们零基础的同学来说还太过遥远了，由于篇幅问题就不展开细说了，我给大家贴一个学习路线。感兴趣的童鞋可以自行研究一下哦，当然你也可以点击这里加我与我一起互相探讨、交流、咨询哦。

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

资料领取

上述这份完整版的网络安全学习资料已经上传网盘，朋友们如果需要可以点击下方小卡片微信扫描二维码 即可免费领取↓↓↓

在这里插入图片描述

黑客入门
关注
  • 8
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Fortify、Checkmarx（代码审计）
墨痕诉清风的博客
06-15 679
Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。数据量引擎：跟踪、记录并分析程序中的数据传递过程所产生的安全问题。语义引擎：分析过程中不安全的函数，方法的使用的安全问题。结构引擎：分析程序上下文环境、结构中的安全问题。
三大代码审计工具对比
SourceBrella的博客
01-21 4345
三大代码审计工具的对比（源伞科技Pinpoint、Checkmarx、Fortify） 源伞科技Pinpoint 源伞科技2016年由香港科大团队创立，立足于国际水平的学术研究积累, 秉承工匠精神，致力用最先进的自动程序分析技术保障软件质量，为企业提供以人工智能为基础的工业级程序缺陷自动挖掘技术，工具和解决方案。核心产品Pinpoint可无缝接入到软件开发人员和测试人员的现有工作流程中，全面自动分...
第38篇：Checkmarx代码审计/代码检测工具的使用教程(1)
ABC_123的博客
12-21 8100
Part1 前言Checkmarx是以色列研发的一款代码审计工具，是.NET开发的，只能在Windows下使用。很多人喜欢把它和fortify进行比较，其实很难说两款工具孰优孰劣，各有秋千吧，两款工具配合起来互补一下更好。Checkmarx和Fortify一样，是商业版的，没有免费版。就我本人实战使用的经验来看，对于有些高危漏洞，有时候Fortify能扫出来，有时候Checkmarx能扫出来，...
Java中的代码审计与漏洞检测工具使用
微赚淘客系统开发者博客
07-31 821
通过对代码进行系统化的审计，可以及早发现潜在的安全漏洞和质量问题，从而提高应用程序的安全性和稳定性。通过使用这些工具，开发者可以对代码进行系统化的审计，及时发现和修复潜在的问题，确保代码的质量和安全性。SonarQube是一个广泛使用的开源平台，用于静态代码分析，检测代码中的错误、代码异味以及安全漏洞。SpotBugs是FindBugs的一个分支，是一个静态代码分析工具，用于查找Java代码中的潜在错误。SonarQube将生成详细的代码质量报告，帮助开发者发现代码中的潜在问题。
【源代码扫描工具】 -‪Checkmarx使用
zhaizhai的博客
03-20 6974
工具地址：http://10.116.56.36/CxWebClient/login.aspx?url=d3c5847f-33e0-4c34-bb06-e579ad8e44ca用户名/密码：Public/Public@123!@1qaz操作步骤：第1步：打开【项目组和扫描->创建新的项目】1、Checkmarx Project Name建议以项目编码为基准，其余可增加版本号等加以标注、2、选...
SAST——Checkmarx静态检测工具收集（2）
热门推荐
manok的专栏
03-27 1万+
Checkmarx是一家以色列高科技软件公司，是世界上著名的代码安全扫描软件Checkmarx CxSAST的生产商，拥有应用安全测试的业内前沿解决方案-CxSAST、CxOSA、CxIAST。分别对应的SAST、SCA和IAST三类应用安全测试类型工具。 Checkmarx CxSAST主要功能是查找安全漏洞、质量缺陷、逻辑问题和后门代码。是一个独特的源代码分析解决方案，该工具可用于识别、跟踪和修复源代码中技术上和逻辑上的缺陷，比如软件安全漏洞、质量缺陷问题和业务逻辑问题等。 Checkmarx使用
代码质量分析工具大比拼：SonarQube、FindBugs、Checkmarx和Snyk
道长的博客
07-24 566
代码质量是软件开发过程中不可忽视的一环。随着技术的发展，市面上出现了多种代码质量分析工具，它们各有千秋，能够满足不同项目的需求。本文将对几款主流的代码质量分析工具进行对比分析，包括SonarQube、FindBugs、Checkmarx和Snyk，以帮助开发者选择最适合自己项目的分析工具。
代码安全审计工具推荐
煜铭2011
05-07 1万+
0×00 简介企业安全规划建设过程中，往往会涉及到开发的代码安全，而更多可以实现落地的是源代码安全审计中，使用自动化工具代替人工漏洞挖掘，并且可以交付给研发人员直接进行安全自查，同时也更符合SDL的原则，此外可以显著提高审计工作的效率。0×01 代码安全审计概述以下链接为当前比较热门的代码审计推荐文章，门类齐全，点评到位，很值得参考。http://www.freebuf.com/sec...
源代码缺陷检测工具选型（1）
manok的专栏
04-21 4025
在源代码静态分析和缺陷检测方面，目前市场上主要有Coverity、Checkmarx、Klockwork和CoBOT。前三个为国外工具，最后一个是国内检测工具。其中Coverity和Klockwork都是美国厂商，Checkmarx是以色列厂商。这些工具有什么特点，各自有什么优势呢？笔者的企业正好在筹备引进源代码缺陷检测工具，所以有机会就四款工具进行了对比验证。截止今天只使用两款工具Checkma...
代码审计工具Checkmarx安装环境、下载安装
04-18
Checkmarx 是以色列研发的一款代码审计工具，使用.NET 开发，CheckMarx CsSAST 仅仅支持windows 安装，只有代码扫描引擎(code Engine)支持 linux 和 windwos。该工具可以扫描未经编译的代码，可以直接上传源码 zip ...
代码审计工具Checkmarx安装环境和安装过程.pdf
01-29
Checkmarx是一款源自以色列的代码审计工具，专用于检测源代码中的安全漏洞。它采用.NET技术构建，并且其CsSAST组件仅支持Windows系统安装，而代码扫描引擎（Code Engine）则兼容Linux和Windows。Checkmarx的一大优势...
代码审计工具Checkmarx安装环境和安装过程
06-17
Checkmarx是一款以色列研发的代码审计工具，它主要用于识别、跟踪和修复源代码中技术上和逻辑上的缺陷，如软件安全漏洞、质量缺陷问题和业务逻辑问题等。以下是关于Checkmarx的安装环境和安装过程的详细信息： 安装...
checkmarx源代码安全扫描工具PC
05-25
checkmarx源代码安全扫描工具PC
时序预测-基于自回归滑动平均模型时间序列ARIMA预测Matlab程序 点变量
08-30
时序预测|基于自回归滑动平均模型时间序列ARIMA预测Matlab程序 点变量 1.程序功能已完成调试，用户可以通过一键操作生成图形和评价指标。 2.数据输入以Excel格式保存，只需更换文件，即可运行以获得个人化的实验结果。 3.代码中包含详细注释，具有较强的可读性，特别适合初学者和新手。 4.在实际数据集上的效果可能较差，需要对模型参数进行微调。 CSDN：机器不会学习CL 时序预测|基于自回归滑动平均模型时间序列ARIMA预测Matlab程序 点变量 1.程序功能已完成调试，用户可以通过一键操作生成图形和评价指标。 2.数据输入以Excel格式保存，只需更换文件，即可运行以获得个人化的实验结果。 3.代码中包含详细注释，具有较强的可读性，特别适合初学者和新手。 4.在实际数据集上的效果可能较差，需要对模型参数进行微调。 CSDN：机器不会学习CL
基于微信小程序的考研资料分享系统的设计与实现.docx
08-30
基于微信小程序的考研资料分享系统的设计与实现.docx
豆瓣读书书评爬虫软件，使用方便快捷
08-30
豆瓣读书书评爬虫软件将辅助你爬取你感兴趣的书目短评，交互简单，你可以轻松的获取目标书目的指定页数的内容，你可以非常方便地使用该资源即可爬取对应书目的短评内容，可以爬取指定页数的信息，也可以将内容保存到数据库sqlite中，当然也会保存为文本文件，每条评论独占一行，如果后续你要做评论的文本情感分析也会特别方便，如若不会使用，详细使用方式可以看我写的一篇文章，链接在此处，点击可跳转:https://blog.csdn.net/weixin_45938063/article/details/141500999spm=1001.2014.3001.5501 ,该资源收取1积分即可下载，欢迎支持下载，您的支持是我创作的动力
XX市XX区市场局数据治理方案文档
08-30
基于企业监管、食品安全、药品安全、知识产权、特种设备监管等多维数据，通过协同各类数据资源，进行数据汇集、治理，构建支撑XX市XX区市场监管数字化平台的标准化数据库，促进XX市XX区市场监管体系的放管服改革工作，逐步实现XX市XX区全方位、全覆盖、全领域、全过程的一体化数智监管体系。
基于springboot的网上购物商城系统设计与实现.docx
最新发布
08-30
基于springboot的网上购物商城系统设计与实现.docx
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值