静态应用程序安全性测试工具-fortify-华克斯

fortify system命令执行检测

除了使用 dataflowsourcerule 、dataflowsinkrule 等规则来定义污点---相关的属性外，fortify还支持使用 characterizationrule 来定义污点---相关的特性。

fortify在编译/分析代码过程中会把代码中的元素（代码块、类、表达式、语句等）通过树状结构体组装起来形成一颗 structural tree，然后扫描的时候使用 structural ---yzer 来解析 structuralrule ，fortify功能升级，蕞后输出匹配的代码。

下面以一个简单的示例看看 structural tree 的结构，示例代码如下

fortify “source code viewer（源代码查看器）”面板：

“source code viewer（源代码查看器）”面板显示了与在“issues（问题）”面板中选择的问题相关联的代码段。如果“---ysis trace（分析---）”面板中的多个节点代表一个问题，则“source code viewer（源代码查看器）”面板会显示与所选节点相关联的代码。

在“source code viewer（源代码查看器）”面板中，您可以使用代码辅助功能创建自定义规则和新问题，如下所示：

要为某个函数创建规则，请将光标放在该函数中，静态应用程序安全性测试工具，单击鼠标右键，然后选择 write rule for this function（为此函数编写规则）。

要创建新问题，请将光标放在该函数中，单击鼠标右键，然后选择 create new issue（创建新问题）。