源代码审计工具fortify采购-苏州华克斯信息

fortify软件

强化静态代码分析器

使软件更快地生产

“将findbugs xml转换为hp fortify sca fpr | main | ca---身份管理员安全研究---?

强化针对jsse api的sca自定义规则---

我们的贡献：强制性的sca规则

为了检测上述不安全的用法，我们在hp fortify sca的12个自定义规则中对以下检查进行了编码。这些规则确定了依赖于jsse和apache httpclient的代码中的问题，因为它们是厚---和android应用程序的广泛使用的库。

超许可主机名验证器：当代码声明一个hostnameverifier时，该规则被触发，并且它总是返回true。

<谓词>;

 <！[cdata [

函数f：f.name是“verify”和f.enclosingclass.supers

包含[class：name ==“javax.net.ssl.hostnameverifier”]和

f.parameters [0] .type.name是“java.lang.string”和

f.parameters [1] .type.name是“javax.net.ssl.sslsession”和

f.returntype.name是“boolean”，f包含

[returnstatement r：r.expression.ctantvalue m---hes“true”]

 ]]>;

;

过度允许的---管理器：当代码声明一个trustmanager并且它不会抛出一个certificateexception时触发该规则。抛出异常是api管理意外状况的方式。

<谓词>;

 <！[cdata [

函数f：f.name是“checkservertrusted”和

f.parameters [0] .type.name是“java.security.cert.x509certificate”

和f.parameters [1] .type.name是“java.lang.string”和

f.returntype.name是“void”而不是f包含[throwstatement t：

t.expression.type.definition.supers包含[class：name ==

“（javax.security.cert.certificateexception | java.security.cert.certificateexception）”]

 ]]>;

;

缺少主机名验证：当代码使用低级sslsocket api并且未设置hostnameverifier时，将触发该规则。

经常被误用：自定义hostnameverifier：当代码使用httpsurlconnection api并且它设置自定义主机名验证器时，该规则被触发。

经常被误用：自定义sslsocketfactory：当代码使用httpsurlconnection api并且它设置自定义sslsocketfactory时，该规则被触发。

我们决定启动“经常被---”的规则，因为应用程序正在使用api，并且应该手动---这些方法的重写。

规则包可在github上获得。这些检查应始终在源代码分析期间执行，以---代码不会引入不安全的ssl / tls使用。

https://github.com/gdssecurity/jsse_fortify_sca_rules

authorandrea scaduto |---关闭|分享文章分享文章

标签tagcustom规则，categoryapplication安全性中的tagsdl，categorycustom规则

fortify sca产品组件及功能

source

code

---ysis

engine（源代码分析引擎）

 数据流分析引擎--------，记录并分析程序中的数据传递过程的安全问题

 语义分析引擎-----分析程序中不安全的函数，方法的使用的安全问题

 结构分析引擎-----分析程序上下文环境，fortify采购，结构中的安全问题

 控制流分析引擎-----分析程序特定时间，状态下执行操作指令的安全问题

 配置分析引擎

-----分析项目配置文件中的---息和配置缺失的安全问题

 特有的x-tier?---qi-----跨跃项目的上下层次，贯穿程序来综合分析问题

secure

coding

rulepacks

?（安全编码规则包）

audit

workbench（---工作台）

custom

rule

editor

&

custom

rulewizard(规则自定义编辑器和向导)

developerdesktop

(ide

插件）

fortify sca 分析安全漏洞的标准

owasp top 2004/2007/2010/2013/2014(开放式web应用程序安全项目)

2. pci1.1/1.2/2.0/3.0(国际---ka资料安全

技术pci标准)

3. wasc24+2(web应用安全联合威胁分类)

4. nist sp800-53rev.4(美国与技术研究院)

5. fisma(联邦信息安全管理法案)

6. sans top25 2009/2010/2011(it安全与研究组织)

7. cwe(mitre公司安全漏洞词典)