Fortify软件强化静态代码分析器使软件更快地生产如何解决Fortify报告的扫描问题已经注意到以下错误消息，但是软件保障计划办公室还没有关于如何解决这些问题的指导。建议尝试使用以下步骤解决这些问题：生成日志文件并查看它以获取有关该问题的更多信息打开支持票帮助联系Fortify技术支持（fortifytechsupport@hpe.com）寻求帮助如果这些步骤无法解决问题，请将您与Fortify技术支持部门的通讯连同V＆V安全代码审查资料一起提供，并在准备报告时将其纳入考量请注意，这不是错误消息的完整列表，并将更多地变得更加广泛：错误代码错误信息笔记1意外的异常：高阶分析不适用101文件。。。没有找到N/A1002，1003解析文件N/A时出现意外的异常1005数据流分析期间的意外异常N/A1009构建调用图N/A时出现意外异常1038初始分析阶段N/A中出现意外异常1142在内部存储器管理期间发生意外错误。扫描将继续，华东源代码审计工具fortify，但内存可能会迅速耗尽，扫描结果可能不完整。N/A1202无法解析符号。。。N/A1207配置文件。。。无法找到网络应用程序N/A1211无法解析类型N/A1213无法解析字段N/A1216无法找到导入（？）N/A1227尝试加载类路径存档时发生异常...文件可能已损坏或无法读取。N/A1228属性文件。。。以连续标记结束。该文件可能已损坏。N/A1232格式错误或IO异常阻止了类文件。。。从被读取不适用1236无法将以下aspx文件转换为分析模型。N/A1237以下对java符号的引用无法解决。某些实例可以通过调整提供给Fortify的类路径来解决，但是在所有情况下都不能解决此问题。1551，1552多个ColdFusion错误（无法解析组件，找不到函数，意外令牌等）可以与使用不支持的ColdFusion版本相关。12002找不到Web应用程序的部署描述符（web.xml）。N/A12004Java前端无法解析以下包含N/A12004Python前端无法解析以下导入N/A13509规则脚本错误可能是Fortify错误，但需要确认某些错误消息可能是Fortify工具中的问题的结果。确认的问题以及如何处理这些问题，都会发布在OISSWA博客中，以及有关解析/语法错误的技术说明。已确认的Fortify问题也在本页顶部的表格中注明。如果您在解决警告或错误消息时遇到问题，请参阅我们的常见问题解答以获取有关打开支持票证的信息。参考参见参考技术说明FortifySCA服务的方式：客户现场服务服务工程师将产品安装客户服务器上，并派技术人员在客户的应用程序中执行代码安全风险评估服务名称服务期限服务描述服务费用备注现场源代码安全扫描服务10天fortify源代码安全产品可以被使用10天，在一个项目上执行多次扫描12万技术人员现场安装产品并辅助器分析代码安全漏洞，源代码审计工具fortify版本，撰写风险评估报告根据项目需要确定根据项目需要确定根据项目需要确定技术人员现场安装产品并辅助器分析代码安全漏洞，撰写风险评估报告给客户带来的好处能快速帮助客户定位代码级别的安全漏洞；能够帮助企业快速评估系统代码安全风险；快速提供代码安全漏洞修复建议；指导和培训用户开发安全的软件；增强系统安全性，抵zhi黑ke恶意攻击，保护信息系统资产。Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用我们的贡献：强制性的SCA规则为了检测上述不安全的用法，我们在HPFortifySCA的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于JSSE和ApacheHTTPClient的代码中的问题，因为它们是厚客户端和Android应用程序的广泛使用的库。超许可主机名验证器：当代码声明一个HostnameVerifier时，该规则被触发，源代码审计工具fortify工具，并且它总是返回true。函数f：f.name是“verify”和f.enclosingClass.supers包含[Class：name==“javax.net.ssl.HostnameVerifier”]和f.parameters[0].type.name是“java.lang.String”和f.parameters[1].type.name是“javax.net.ssl.SSLSession”和f.returnType.name是“boolean”，f包含[ReturnStatementr：r.expression.ctantValuematches“true”]]]>过度允许的信任管理器：当代码声明一个TrustManager并且它不会抛出一个CertificateException时触发该规则。抛出异常是API管理意外状况的方式。函数f：f.name是“checkServerTrusted”和f.parameters[0].type.name是“java.security.cert.X509Certificate”和f.parameters[1].type.name是“java.lang.String”和f.returnType.name是“void”而不是f包含[ThrowStatementt：t.expression.type.definition.supers包含[Class：name==“（javax.security.cert.CertificateException|java.security.cert.CertificateException）”]]]>缺少主机名验证：当代码使用低级SSLSocketAPI并且未设置HostnameVerifier时，将触发该规则。经常被误用：自定义HostnameVerifier：当代码使用HttpsURLConnectionAPI并且它设置自定义主机名验证器时，源代码审计工具fortify采购，该规则被触发。经常被误用：自定义SSLSocketFactory：当代码使用HttpsURLConnectionAPI并且它设置自定义SSLSocketFactory时，该规则被触发。我们决定启动“经常被滥用”的规则，因为应用程序正在使用API，并且应该手动审查这些方法的重写。规则包可在Github上获得。这些检查应始终在源代码分析期间执行，以确保代码不会引入不安全的SSL/TLS使用。https://github.com/GDSSecurity/JSSE_Fortify_SCA_RulesAuthorAndreaScaduto|评论关闭|分享文章分享文章标签TagCustom规则，CategoryApplication安全性中的TagSDL，CategoryCustom规则华克斯信息-华东源代码审计工具fortify由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司是从事“Loadrunner,Fortify,源代码审计,源代码扫描”的企业，公司秉承“诚信经营，用心服务”的理念，为您提供更好的产品和服务。欢迎来电咨询！联系人：华克斯。)