Fortify SCA 分析代码漏洞全解

上次介绍了用FindBugs辅助分析代码漏洞。这次换了一个工具：Fortify SCA Demo 4.0.0。Fortify是一个在安全方面挺出名的公司，这里就不多说了。先介绍一下主角：Fortify SCA Demo 4.0.0，尽管如今不知道Fortify SCA的版本号是多少，但能够肯定的是，Fortify SCA Demo 4.0.0是一个比較旧的Fortify SCA分析器了，而且还是Demo版的。所以不管是界面还是功能上都是比較简陋的。因为Fortify SCA不是开源的工具，这里就不提供下载了，大家能够上Fortify主页申请:>。

　　这次演示的是用Fortify SCA静态分析Java代码。和FindBugs不同的是Fortify SCA还能够静态分析C/C++，.NET和PL/SQL等代码。

一.Fortify SCA静态分析原理

　　因为我不是写这个东东的人。而且接触这个工具时间也有限。所以对它的工作原理认知比較浅，非常多是通过它的说明文档得来的。

　　Fortify SCA静态分析分两个阶段：

　　1.Translation:

　　　　把各种语言的源码转为一种统一的中间语言代码。

　　2.Analysis:

　　　　依据中间代码分析代码漏洞。并得出报告。

　　Fortify有非常多个语言转换器，但核心的静态分析引擎仅仅有一套。

二.Fortify SCA的使用

　　先看看Fortify SCA Demo 4.0.0的文件夹：

　　

　　这个是Fortify SCA Demo 4.0.0的文件夹，这里主要有两个文件：auditworkbench.cmd和sourceanalyzer.exe。auditworkbench.cmd是查看静态分析报告的工具，sourceanalyzer.exe是静态代码分析器。这里我们还看到了一个FindBugs的文件夹。这是因为这个版本号的Fortify集成了此功能，你能够通过传參给sourceanalyzer.exe调用FindBugs（但我一般不这么做，能够直接使用FindBugs的话。为什么还要通过sourceanalyzer.exe调呢？）。

　　開始扫描静态分析，首先CMD进入Java源码文件夹。然后“H:\Fortify\sourceanalyzer.exe -classpath "**/*.jar" -f test.fpr .”。在当前文件夹得到结果报告test.fpr。

　　用auditworkbench打开test.fpr，效果例如以下图：

　　

　　这里auditworkbench主要分4部分：

　　1.左上(Issues)：是警告分类，这里Fortify分了3了，严重程度由高至低各自是：hot。warning。info。以下是本次扫描的问题列表，双击就可以定位问题代码。

　　2.右上：源码。双击问题列表就可以自己主动定位代码。

　　3.左下(analysis trace)：问题处的Trace信息，告诉你问题出如今哪里文件第几行。

　　4.右下(details)：问题的具体说明。还有示范代码。

OK，如今看看其它地方，比方：menubar(Options)-->Show View-->Other，你会看到下图：

　　

　　这里我看到了一个非常像eclipse管理插件的窗体。噢，难道.....OK，让我看看再找找Fortify的文件夹看看，找到了这个东西：

　　

　　这里发现Fortify SCA真的是一个Eclipse插件，只是当我兴冲冲地把这个插件放进myeclipse插件库并重新启动后，发现这个不能识别:<，好像还是差了点东西。这个以后研究。

　　这个工具还有非常多功能，但暂且先写这多。

三.Fortify SCA Demo 4.0.0与FindBugs(1.3.7.20081230)对照

　　今天试着对同一份代码进行静态扫描，发现FindBugs找到的问题种类，数量都比Fortify SCA Demo 4.0.0多非常多：

　　FindBugs发现问题种类有：20多种

　　Fortify SCA Demo 4.0.0发现问题种类：5种

　　在分析发现问题后。发现了一个有趣现象，Fortify SCA Demo 4.0.0和FindBugs发现的BUG类型是全然不同，能够说是互补的！

当中，FindBugs发现的问题相对照较重要。但FindBugs仅仅是针对Java代码的静态分析器，而Fortify SCA则支持很多其它的语言，而且Fortify SCA对发现问题的解释相对照较清晰。

　　导致这个问题的解决办法可能是：Fortify SCA Demo 4.0.0这个版本号比較老，而且是试用版。规则库和静态分析引擎都不全......假设是最新的Fortify SCA商业版，应该是不错，8个分析不同类型问题的静态分析引擎。庞大的规则库.......但是俺这样的穷人还没机会试:<

　　对照两个Java静态分析工具，Fortify SCA Demo 4.0.0和FindBugs(1.3.7.20081230)，使用FindBugs是不错的选择，它相对照较强些，但假设能够两个都用当然效果更好:>

四.Fortify SCA的Bug类型及解释说明

　　尽管Fortify SCA对问题已经有比較清晰的说明。但是还是决定自己总结，这样会更加清晰。(相关问题解释说明稍后补上)

Hot:

//...