fortifySCA审计功能要求·对安全漏洞扫描结果进行汇总，并按照问题的严重性和可能性进行级别的合理划分。如Critical，High，Medium，Low四个级别。·用户能够根据企业自身需要来调整和修改问题的默认分级策略，方便审计。·迅速、准确定位某一特定安全漏洞所在的源代码行，对问题产生的整个过程进行跟踪，并能以图形化的形式展现。·提供每个安全漏洞的中文详细描述和较明确和详尽的推荐修复建议。·提供与之前扫描结果的比较，指出本次扫描出来的新问题，并且能够与以前的审计结果进行合并，减少重复审计工作。·支持按文件名、API、漏洞类型、严重等级等进行分类、过滤、查询、统计。支持对漏洞信息的全文检索功能，可以从其中快速检索到指ding类别或者名称的漏洞信息。Fortify软件强化静态代码分析器使软件更快地生产强化SCA5.0扩展应用程序保护Fortify软件更新app-dev安全和管理套件。作者：MichaelDesmond11/01/2017FortifySoftwareInc.计划出货FortifySCA5.0，该版本是该公司旗舰应用开发安全套件的更新版本。FortifySCA5.0目前处于beta版，预计将在年底前发货，是由三个模块组成的源代码分析器。FortifyTracer扫描代码并防止缺陷在设计生命周期的质量检查部分;FortifyDefender监视部署的应用程序代码，防止实时攻击;而FortifyManager提供了一个基于Web的仪表板，用于监控活动和调整配置。新版本5是通过TeamServerWeb界面实现的增强协作，使FortifySCA仪表板轻触实时数据流。Fortify产品和服务副总裁BarmakMeftah表示，新的仪表板允许管理员为不同的团队制定不同的角色和政策。“到目前为止，我们的终端用户已经是一个巨大的打击，”Meftah说。Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用允许所有的行动应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnectionAPI和一个低级SSLSocketAPI。HttpsURLConnectionAPI默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。HostnameVerifierallHostsValid=newHostnameVerifier（）{publicbooleanverify（Stringhostname，源代码审计工具fortify工具，SSLSessionsession）{返回真}};SSLSocketAPI不开箱即可执行主机名验证。以下代码是Java8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。privatevoidcheckTrusted（X509Certificate[]chain，StringauthType，SSLEngineengine，booleanisClient）throwsCertificateException{...StringidentityAlg=engine.getSSLParameters（）。getEndpointIdentificationAlgorithm（）;if（identityAlg！=null&&identityAlg.length（）！=0）{checkIdentity（session，chain[0]，源代码检测工具fortify工具，identityAlg，源代码检测工具fortify工具，isClient，getRequestedServerNames（发动机））;}...}当SSL/TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，华中fortify工具，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。这种记录的行为被掩埋在JSSE参考指南中：“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭源代码审计工具fortify工具-苏州华克斯由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司位于苏州工业园区新平街388号。在市场经济的浪潮中拼博和发展，目前华克斯在行业软件中享有良好的声誉。华克斯取得全网商盟认证，标志着我们的服务和管理水平达到了一个新的高度。华克斯全体员工愿与各界有识之士共同发展，共创美好未来。)