源代码审计工具fortify采购-fortify采购-华克斯

Fortify软件

强化静态代码分析器

使软件更快地生产

如何解决Fortify报告的扫描问题

已经注意到以下错误消息，但是软件保障计划办公室还没有关于如何解决这些问题的指导。建议尝试使用以下步骤解决这些问题：

生成日志文件并查看它以获取有关该问题的更多信息

打开支持票帮助

联系Fortify技术支持（fortifytechsupport@hpe.com）寻求帮助

如果这些步骤无法解决问题，请将您与Fortify技术支持部门的通讯连同V＆V安全代码审查资料一起提供，fortify采购，并在准备报告时将其纳入考量

请注意，这不是错误消息的完整列表，并将更多地变得更加广泛：

错误代码

错误信息

笔记

1意外的异常：高阶分析不适用

101文件。 。 。没有找到N / A

1002，1003解析文件N / A时出现意外的异常

1005数据流分析期间的意外异常N / A

1009构建调用图N / A时出现意外异常

1038初始分析阶段N / A中出现意外异常

1142在内部存储器管理期间发生意外错误。扫描将继续，但内存可能会迅速耗尽，扫描结果可能不完整。 N / A

1202无法解析符号。 。 。 N / A

1207配置文件。 。 。无法找到网络应用程序N / A

1211无法解析类型N / A

1213无法解析字段N / A

1216无法找到导入（？）N / A

1227尝试加载类路径存档时发生异常...文件可能已损坏或无法读取。 N / A

1228属性文件。 。 。以连续标记结束。该文件可能已损坏。 N / A

1232格式错误或IO异常阻止了类文件。 。 。从被读取不适用

1236无法将以下aspx文件转换为分析模型。 N / A

1237以下对java符号的引用无法解决。某些实例可以通过调整提供给Fortify的类路径来解决，但是在所有情况下都不能解决此问题。

1551，1552多个ColdFusion错误（无法解析组件，找不到函数，意外令牌等）可以与使用不支持的ColdFusion版本相关。

12002找不到Web应用程序的部署描述符（web.xml）。 N / A

12004 Java前端无法解析以下包含N / A

12004 Python前端无法解析以下导入N / A

13509规则脚本错误可能是Fortify错误，但需要确认

某些错误消息可能是Fortify工具中的问题的结果。确认的问题以及如何处理这些问题，都会发布在OISSWA博客中，以及有关解析/语法错误的技术说明。已确认的Fortify问题也在本页顶部的表格中注明。

如果您在解决警告或错误消息时遇到问题，源代码检测工具fortify采购，请参阅我们的常见问题解答以获取有关打开支持票证的信息。

参考

参见参考技术说明

Fortify软件

强化静态代码分析器

使软件更快地生产

“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书?

强化针对JSSE API的SCA自定义规则滥用

允许所有的行动

应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。

Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。

HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。

HostnameVerifier allHostsValid = new HostnameVerifier（）{

public boolean verify（String hostname，SSLSession session）{

         返回真

  }

};

SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。

private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）

throws CertificateException {

 ...

 String identityAlg = engine.getSSLParameters（）。

           getEndpointIdentificationAlgorithm（）;

 if（identityAlg！= null && identityAlg.length（）！= 0）{

           checkIdentity（session，chain [0]，identityAlg，isClient，

                   getRequestedServerNames（发动机））;

 }

 ...

}

当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，源代码审计工具fortify采购，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。

这种记录的行为被掩埋在JSSE参考指南中：

“当使用原始SSLSocket和SSLEngine类时，源代码审计工具fortify采购，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭

Fortify软件

强化静态代码分析器

使软件更快地生产

如何解决Fortify报告的扫描问题

跳到元数据结束

由Matthew Condell创建，由Charles Williams于二零零七年六月二十六日修改，转到元数据的开始

这个页面已经被供应商公开了

图标

题

在扫描我的应用程序时，Fortify报告了错误或警告。如何解决这些错误？

回答

Fortify可能会报告一些不同的错误消息。这里将列出常见的错误消息以及指向其他技术说明的指针，其中提供了有关如何解决这些问题的信息。要检索错误消息列表，请按照“如何查看Fortify报告的错误消息”中的说明进行操作。它也可能有助于生成调试日志文件，可以更好地了解问题。

常见的错误消息及其解决方案包括：

错误代码

错误信息

笔记

N / A分析期间没有发生警告没有发生错误。扫描很好去

N / A执行ASP.NET预编译时出错如何解决“执行ASP.NET预编译时出错”

-1错位的关闭标签[...]此错误可能不会影响扫描结果，但建议检查引用的文件以查看是否有错放的HTML标签。

1001，1381，1554，10000，...

解析文件或语法错误时出错如何解决文件解析或语法错误

1103转换器执行失败。这是Fortify 16.20扫描C＃6 / VB 14代码的一个知识问题。请参阅以下博客文章以获取有关如何处理的信息：Fortify 16.20“C＃6 / VB 14”中的“转换器执行失败”错误

1105，1480没有足够的内存可用来完成分析增加分配给Fortify的内存量：如何增加Fortify进行翻译的内存

1114功能。 。 。对于详尽的数据流分析来说太复杂了，进一步的分析将被跳过（堆栈）如何解决“功能...太复杂”错误