Fortify，如何通过命令开始分析

Question

如何使用命令生成强化报告？？？在linux上。

在命令中，我们如何只包含一些用于分析的文件夹或文件，以及如何指定存储报告的位置。等

请帮忙。。。。

谢谢，Karthik

Answer 1

1.步骤#1（清理缓存）

• 您需要在开始之前规划扫描结构：

scanid=9999（可以是您喜欢的任何内容）

ProjectRoot=/local/proj/9999/

/local/proj/9999/working

• （这个目录很大，你需要“rm-rf./working

log=/local/proj/9999/working/sca。日志

source='/local/proj/9999/source/src/**'

classpath='本地/proj/9999/源/WEB-INF/lib/*. jar； /local/proj/9999/source/jars/**.*; /本地/proj/9999/源/类/**。*'

./sourceanalyzer -b 9999 -Dcom.fortify.sca.ProjectRoot=/local/proj/9999/ -Dcom.fortify.WorkingDirectory=/local/proj/9999/working -logfile  /local/proj/working/9999/working/sca.log  -clean

• 指定ProjectRoot非常重要，如果不覆盖此系统默认值，它将置于/home/user下。加强
• sca。日志位置非常重要，如果fortify未找到此文件，则无法找到要扫描的字节码
• 如果您是唯一的用户，则可以一次性更改ProjectRoot和工作目录：FORTIFY_HOME/Core/config/FORTIFY_sca。属性）
• 在这种情况下，您的命令行将是/sourceanalyzer-b 9999-清洁

2.步骤#2（将源代码转换为字节代码）

nohup ./sourceanalyzer -b 9999 -verbose -64 -Xmx8000M -Xss24M -XX:MaxPermSize=128M -XX:+CMSClassUnloadingEnabled -XX:+UseConcMarkSweepGC  -XX:+UseParallelGC -Dcom.fortify.sca.ProjectRoot=/local/proj/9999/ -Dcom.fortify.WorkingDirectory=/local/proj/9999/working  -logfile /local/proj/9999/sca.log -source 1.5 -classpath '/local/proj/9999/source/WEB-INF/lib/*.jar:/local/proj/9999/source/jars/**/*.jar:/local/proj/9999/source/classes/**/*.class'  -extdirs '/local/proj/9999/source/wars/*.war'  '/local/proj/9999/source/src/**/*'  &

>

cp：将所有已知的类路径放在这里，以便加强以解决FunctionODFn调用。如果未找到函数，fortify将跳过源代码翻译，因此稍后不会扫描此部分。您将获得较差的扫描质量，但FPR看起来不错（低问题报告）。将所有依赖项jar放在适当的位置是很重要的。

-extdir：把你不想被扫描的所有目录/文件放在这里。

最后一部分，''之间的文件是您的源。

-64是使用64位java，如果没有指定，将使用32位，最大堆应该是

-XX：与启动应用程序服务器中的含义相同。仅使用它们来控制类堆和垃圾收集。这是为了调整性能。

-源代码是java版本（1.5到1.8）

3.步骤#3（使用规则包、自定义规则、过滤器等进行扫描）

nohup ./sourceanalyzer -b 9999  -64 -Xmx8000M -Dcom.fortify.sca.ProjectRoot=/local/proj/9999 -Dcom.fortify.WorkingDirectory=/local/proj/9999/working -logfile /local/ssap/proj/9999/working/sca.log **-scan** -filter '/local/other/filter.txt' -rules '/local/other/custom/*.xml -f '/local/proj/9999.fpr' & 

>

规则：这是您编写的自定义规则。HP规则包位于FORTIFY_HOME/Core/config/rules目录中

-scan：告诉强化引擎扫描现有scanid的关键字。如果不更改代码，只想使用不同的筛选/自定义规则，则可以跳过步骤2，只执行步骤3

4.步骤#4从FPR文件生成PDF（如果需要）

./ReportGenerator -format pdf -f '/local/proj/9999.pdf' -source '/local/proj/9999.fpr'