前段时间因为工作原因需要对java源代码进行扫描,现结合使用经验对静态代码扫描工具Fortify SCA与FindBugs进行一个简单的对比. 一.Fortify SCA Fortify SCA是由全球领先的软件安全产品解决方案供应商Fortify Software开发,致力于帮助客户在软件开发生命周期中建立安全机制,杜绝软件安全漏洞,避免经济上和声誉上的损失. 扫描原理:FortifySCA首先通过调用语言的编译器或者解释器把前端的语言代码(Java.C.C++等源代码)转换成一种中间媒体文件

上次介绍了用FindBugs辅助分析代码漏洞.这次换了一个工具:Fortify SCA Demo 4.0.0.Fortify是一个在安全方面挺出名的公司,这里就不多说了.先介绍一下主角:Fortify SCA Demo 4.0.0,尽管如今不知道Fortify SCA的版本号是多少,但能够肯定的是,Fortify SCA Demo 4.0.0是一个比較旧的Fortify SCA分析器了,而且还是Demo版的.所以不管是界面还是功能上都是比較简陋的.因为Fortify SCA不是开源的工具,这里就

转自:http://www.freebuf.com/sectool/95683.html 什么是fortify它又能干些什么? 答:fottify全名叫:Fortify SCA ,是HP的产品 ,是一个静态的.白盒的软件源代码安全测试工具.它通过内置的五大主要分析引擎:数据流.语义.结构.控制流.配置流等对应用软件的源代码进行静态的分析,分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配.查找,从而将源代码中存在的安全漏洞扫描出来,并给予整理报告. 它支持扫描多少种语言? 答:Fortify

公司最近启用了Fortify扫描项目代码,报出较多的漏洞,安排了本人进行修复,近段时间将对修复的过程和一些修复的漏洞总结整理于此! 本篇先对Fortify做个简单的认识,同时总结一下sql注入的漏洞! 一.Fortify软件介绍 Fortify是一款能扫描分析代码漏洞的强大工具,是由一家加州软件安全厂商开发而成,该公司成立于2003年,它于2010年被惠普收购.现在,它在惠普软件业务方面作为惠普企业安全产品的一部分,它提供软件应用程序的安全漏洞保护识别,修复产品和服务. Fortify Mana

Java Commons The Java™ Tutorials: http://docs.oracle.com/javase/tutorial/index.html Java Platform, Enterprise Edition (Java EE): http://docs.oracle.com/javaee/ Overriding and Hiding Methods: http://docs.oracle.com/javase/tutorial/java/IandI/override.

一.说明 最近要找一款代码审计工具,Fortify SCA太贵,VisualCodeGrepper不太好用.在freebuf上看到可用sonarqube来建代码自动化扫描系统所以也来试一试. 直接安装没启起来,懒得分析填接用了docker装. 二.安装 sonarqube扫描是c/s模式,sonarqube自己是服务器装在kali上,sonarqube scanner是扫描客户端装在哪都可以,我这里装在windows机上. 2.1 服务端安装docker docker安装可参考:https://

https://www.softwaretestinghelp.com/tools/top-40-static-code-analysis-tools/ In this article, I have summarised some of the top static code analysis tools. Can we ever imagine sitting back and manually reading each line of codes to find flaws? To eas

一.安全测试基本分类: 1.系统安全 系统加固 安全加固:比如linux中关闭telnet端口,修改ssh端口 检测一些不必要的服务(需要卸载一个ping)--保证系统的最小集 app安全加固:加一层外壳 补丁 消息中间件:activityMQ,rabbitMQ,safMQ(关闭页面,非业务端口,默认用户) 防火墙规则(iptables) 防病毒 2.应用安全(安装包,服务,业务)----用户(人和服务)口令.敏感信息 (1)黑白名单(IP:port)----访问控制 (2)消息层面:数据加密和

一.前言 目前在业界有很多自动化检测APP安全性的在线扫描平台.为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析:主要从漏洞项对比.扫描能力对比以及扫描结果这三个方向来对比. 希望此次的调研结果可以为读者提供更加可靠的安全漏洞扫描服务建议. 二.分析对象 这一章主要介绍需要对比的扫描平台和需要测试的APP样本. 2.1 对比平台 扫描平台 网址 阿里聚安全漏洞扫描 http://jaq.alibaba.com/ 360APP漏洞扫描 http://de

一.前言 随着Android操作系统的快速发展,运行于Android之上的APP如雨后春笋般涌现.由于一些APP的开发者只注重APP业务功能的实现,对APP可能出现安全问题不够重视,使得APP存在较多的安全隐患.国内一些安全厂商为这些开发者提供了各种各样的安全服务,包括APP的加固.安全漏洞分析等. 目前在业界有很多自动化检测APP安全性的在线扫描平台.为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析:主要从漏洞项对比.扫描能力对比以及扫描结果这三个方

初级篇更多是对那些已有的版本漏洞分析,存在安全问题的函数进行讲解,中级篇更多是针对用户输入对漏洞进行利用 中级篇更多是考虑由用户输入导致的安全问题. 预备工具首先要有php本地环境可以调试代码 总结就是 1. 可以控制的变量[一切输入都是有害的 ] 2. 变量到达有利用价值的函数[危险函数] [一切进入函数的变量是有害的] 程序的本质是变量与函数,我们审计的漏洞也无法摆脱这两个元素,让我们先来看下漏洞形成的条件 漏洞的利用效果最终也取决与函数的功能.所以我们在下面讲述 漏洞挖掘的过程中,也将围绕

一.代码审计工具介绍 代码审计工具可以辅助我们进行白盒测试,大大提高漏洞分析和代码挖掘的效率. 在源代码的静态安全审计中,使用自动化工具辅助人工漏洞挖掘,一款好的代码审计软件,可以显著提高审计工作的效率.学会利用自动化代码审计工具,是每一个代码审计人员必备的能力.代码审计工具按照编程语言.审计原理.运行环境可以有多种分类.商业性的审计软件一般都支持多种编程语言,比如VCG.Fortify SCA,缺点就是价格比较昂贵.其他常用的代码审计工具还有findbugs.codescan.seay,但是大

1.简介 SDL的全称是Security Development Lifecycle,即:安全开发生命周期.由微软最早提出,是一种专注于软件开发的安全保障流程.为实现保护最终用户为目标,它在软件开发流程的各个阶段引入安全和隐私问题. 2.流程 SDL大致如下,包括了以下七个阶段: • 安全培训:安全培训体系:安全意识+安全测试+安全开发+安全运维+安全产品• 需求分析:确定安全需求和投入占比,寻找安全嵌入的最优方式 • 系统设计:确定设计要求,分析攻击面,威胁建模• 实现:使用标准的工具,弃用不

排查分两大部分: 1.代码静态分析,通过Code Review查找不合规范的代码点: 2.运行目标软件,结合内存监控工具,分析目标软件的代码,定位内存泄漏点. 目前能找到的代码静态分析软件:Coverity代码静态检查工具(Synosys公司的).Fortify SCA(擅长JAVA,C++也能分析).PVS-Studo.PC-lint. 内存监控工具: Bounds check.Deleaker.CRTDBG(VS自带的,编译DEBUG版本,内存泄漏时会在Debug窗口中有打印信息). Del

一.HttpServletRequest介绍 HttpServletRequest对象代表客户端的请求,当客户端通过HTTP协议访问服务器时,HTTP请求头中的所有信息都封装在这个对象中,通过这个对象提供的方法,可以获得客户端请求的所有信息. 二.Request常用方法 2.1.获得客户机信息 getRequestURL方法返回客户端发出请求时的完整URL. getRequestURI方法返回请求行中的资源名部分. getQueryString 方法返回请求行中的参数部分. getPathInf

Fortify扫描漏洞解决方案: Log Forging漏洞: 1.数据从一个不可信赖的数据源进入应用程序. 在这种情况下,数据经由getParameter()到后台. 2. 数据写入到应用程序或系统日志文件中. 这种情况下,数据通过info() 记录下来.为了便于以后的审阅.统计数据收集或调试,应用程序通常使用日志文件来储存事件或事务的历史记录.根据应用程序自身的特性,审阅日志文件可在必要时手动执行,也可以自动执行,即利用工具自动挑选日志中的重要事件或带有某种倾向性的信息.如果攻击者可以向随后

gitbash 是 windows 环境下非常好用的命令行终端,可以模拟一下linux下的命令如ls / mkdir 等等,如果使用过程中遇到中文显示不完整或乱码的情况,多半是因为编码问题导致的,修改文本编码即可.操作过程如下: 问题描述 gitbash 在 win10 环境下显示中文出现乱码 处理办法 问题是由于编码不一致造成的,修改稿界面文字编码即可. 操作 1/问题回顾 2/控制台单击右键,选择options选项 3/设置文本本地语言为 zh_CN ,编码选择 GBK, 随后单击OK保存

沉寂了许久(大概有三个多月了吧),LZ"按捺不住"开始写博了! java编码中的中文问题是一个老生常谈的问题了,每次遇到中文乱码LZ要么是按照以前的经验修改,要么则是baidu.com来解决问题.阅读许多关于中文乱码的解决办法的博文后,发现对于该问题我们都(更加包括我自己)没有一个清晰明了的认识,于是LZ想通过这系列博文(估计只有几篇)来彻底分析.解决java中文乱码问题,如有错误之处望各位同仁指出!当然,此系列博文并非LZ完全原创,都是在前辈基础上总结,归纳,如果雷同纯属借鉴-- 问

一般出现乱码是因为文本采用了GBK编码格式,Sublime Text默认不支持GBK编码. 安装包管理器 简单安装 使用Ctrl+`快捷键或者通过View->Show Console菜单打开命令行,粘贴如下代码: import urllib.request,os; pf = 'Package Control.sublime-package'; ipp = sublime.installed_packages_path(); urllib.request.install_opener( urlli

在java中处理字符时,经常会发生乱码,而主要出现的地方在读取文本文件时发生,或者是写入到文件中,在其他地方打开乱码. 如下例子: BufferedReader br = null; try { br = new BufferedReader(new InputStreamReader(new FileInputStream( "file.txt"))); String line = br.readLine(); System.out.println(line); } catch (F