问题标签 [fortify]

有没有人使用命令行来运行强化？我试图在我的 CI 构建中加入 fortify 运行，但我不知道该怎么做。

I am trying to scan the C/C++/COM code with fortify 360 (SCA) through visual studio 2005 interface.

The compilation goes through fine. But, fortify scan fails with warning " scan failed: value does not fall under within range".

Please let me know how can we resolve this issue.

Thanks in advance.

我正在创建一个 MSBuild 来运行 Fortify Scan。命令是：

1) sourceanalyzer -b MYBUILDID devenv SOLUTION.sln /REBUILD 调试

2) sourceanalyzer -b MYBUILDID -scan -f SOLUTION.fpr -format frp

构建日志

1) 1.1)Rebuild Start .....解决方案已经rebuild成功。好的

1.2) 之后，它运行 aspnet_compiler 运行： ASPCOMPILE : "-v" "/FortifyBuildId" "-p" "MySite" "-d" "-f" "-c" "-fixednames" "\%USER%\ AppData\Local\Fortify\VS2010-5.9\output...." Fortify 源码分析完成

2) [错误]：构建 ID“MYBUILDID”不存在

我的构建框是服务器 2008 x64，因为我安装了 sharepoint。我注意到 sourceanalyzer 调用 ASCOMPILE 指向 c:\windows\Microsoft.NET\Framework 而不是c:\windows\Microsoft.NET\Framework64。我已经测试了它在两个框架中运行。使用 aspnet_compile 64 可以正常工作（“c:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_compiler”“-v”​​“/FortifyBuildID”“-p”“MySite”“-d”“-f”“-c " "-fixednames" "%USER%\AppData\Local\Fortify\VS2010-5.9\output.."

你知道我该如何解决吗？

谢谢

我正在尝试使用 WCF 使用客户端的 Web 服务。客户端的 Web 服务是通过 HTTPS 完成的，我可以通过以下绑定很好地使用它：

但是，我们的安全团队告诉我需要使用Message或TransportWithMessageCredential安全，因为 Fortify 360 抱怨Transport安全性太弱。

当我尝试时，Meesage我收到此错误：

我TransportWithMessageCredential收到以下错误：

我没有用户名/密码（我可以在浏览器中正常连接），所以我的问题是：

我可以使用Message或TransportWithMessageCredentials在使用现有的 HTTPS Web 服务时（无需发布者进行任何更改）吗？如果是这样，我需要对我的配置进行哪些更改？

编辑以澄清问题。

我们对 ASP.net 应用程序进行了 Fortify 扫描。我们发现有很多标题操作问题。所有的问题都指向 Response.Redirect()。请查看下面我对参数进行编码的代码。即使这样，下面的代码也被视为标题操作问题。

有人可以让我知道这里还需要改变什么来解决问题吗？

以下代码始终显示路径操作问题。如何解决？

在强化审计工作台工具中，我们有不同类型的过滤器集，比如 1.安全审计器视图 2.开发者视图 3.关键暴露 4.热点等这些过滤器集是什么，每个过滤器集有什么区别..

提前致谢

如果我想在 .net 源上运行 Fortify（从命令行），是否需要在机器上安装 Visual Studio？我正在尝试从命令行运行 fortify，但它总是抱怨 Build Id 不存在。

谢谢，塔拉辛格

我正在使用 Fortify 源代码分析器来分析我的 Java 代码中的安全问题。

它给了我警告

“源代码分析引擎正在不受支持的 Java 虚拟机 (Sun Microsystems Inc. 1.6.0_27) 下运行”

我无法从帮助文档中找到支持的版本。你能告诉我 Fortify 支持哪个版本吗？我正在使用审核工作台版本 5.2.1.0002。我在 Ubuntu 下运行。

谢谢，

有人知道如何在 HP Fortify SCA 中编写规则来检查 XLM 文件中的 XML 标记值吗？

我有一个这样的带有正则表达式的 XML，并且想编写一个规则来检查元素是否与正则表达式匹配。