FortifySCA服务概述软件源代码是软件需求、设计和实现的终载体，源代码安全风险评估发现代码构造期间引入实现级别的安全漏洞，并为这些编码错误建议补救措施。源代码安全风险评估对现有代码库进行分析，并对导致安全漏洞的代码构造进行定位。包括但不限于OWASPTop10、PCI、CWE、CVE、SANS20、SOX等国际组织公布的软件安全漏洞。我们的安全团队将静态分析工具和手动审查相结合来尽可能揭示所有的可能存在的安全漏洞。Fortify软件强化静态代码分析器使软件更快地生产HPFortify静态代码分析器Fortify软件通过引入FortifySCA5.0设置安全代码开发的行业标准2017年10月23日06:29AM市场领xian的企业级应用安全解决方案供应商Fortify?SoftwareInc.今天推出FortifySCA5.0，这是第五代屡获殊荣的源代码分析软件。FortifySCA是业界强大的静态分析解决方案，旨在帮助企业消除其开发应用程序中的安全漏洞。Fortify的xin版本FortifySCA5.0集成了新的功能，为应用程序安全性制定了新的行业标准，源代码扫描工具fortify代理商，包括几个行业第yi：-由向导驱动创建由不是的人定制的安全规则软件开发人员-实现软件开发团队之间的协作-防范新类别的漏洞应用安全-支持编程语言，源代码检测工具fortify代理商，包括PHP，JavaScript（Ajax），经典ASP/VB脚本（VB6）和COBOL的有限版本据Gartner介绍，“企业必须采用源代码扫描技术和流程，因为需求是战略性的。”（源代码安全测试工具的市场定义和供应商选择标准，2017年5月，NeilMacDonald和JosephFeiman）。由于应用程序安全性将自身确定为组织开发自己的应用程序的“必须”，fortify代理商，所以安全的开发过程必须更紧密地集成到其日常活动中。Fortify已经是应用程序安全性的市场，已经纳入了其客户群体的反馈，为企业安全开发生命周期带来协作，定制和更全mian的保护。Fortify执行官JohnM.Jack说：“我们的客户群的广度和深度使我们能够洞察世界shangda的应用程序安全部署，以及组织如何使用这种技术的详细知识。“这些业务面临不断的安全威胁和客户根据他们所确定的安全级别对其产品和服务进行评估，因此他们花了大量时间评估其安全开发实践，并对任何解决方案都有非常明确的要求随着FortifySCA5.0的发布，我们实施了这些市场的反馈，提供满足这些要求的第yi个解决方案和业界有xiao的应用安全解决方案。“Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用允许所有的行动应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnectionAPI和一个低级SSLSocketAPI。HttpsURLConnectionAPI默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。HostnameVerifierallHostsValid=newHostnameVerifier（）{publicbooleanverify（Stringhostname，SSLSessionsession）{返回真}};SSLSocketAPI不开箱即可执行主机名验证。以下代码是Java8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。privatevoidcheckTrusted（X509Certificate[]chain，StringauthType，SSLEngineengine，booleanisClient）throwsCertificateException{...StringidentityAlg=engine.getSSLParameters（）。getEndpointIdentificationAlgorithm（）;if（identityAlg！=null&&identityAlg.length（）！=0）{checkIdentity（session，chain[0]，源代码审计工具fortify代理商，identityAlg，isClient，getRequestedServerNames（发动机））;}...}当SSL/TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。这种记录的行为被掩埋在JSSE参考指南中：“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭华克斯-fortify代理商由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司实力不俗，信誉可靠，在江苏苏州的行业软件等行业积累了大批忠诚的客户。华克斯带着精益求精的工作态度和不断的完善创新理念和您携手步入辉煌，共创美好未来！)