代码审计工具Fortify SCA

代码审计工具Fortify SCA，一款软件代码安全测试工具，包含了五大引擎分析系统，为用户提供全方位的代码静态分析，对软件安全漏洞进行搜索，让您轻松掌握代码的调试状态，完成相关的审计工作，本次带来的是Fortify SCA的一个crack版本，直接运行程序即可安装，有相关代码审计操作需求的朋友们不妨试试吧！

Fortify SCA介绍

Fottify全名叫：Fortify SCA ，是HP的产品 ，是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。

Fortify SCA说明

FortifySCA支持的21语言，分别是asp.net、.Net、c#.Net、ASP、VBscript、VS6、java、JSP、javascript、HTML、 XML、 C/C++、PHP、T-SQL、PL/SQL、Action script、 Object-C (iphone-2012/5)、ColdFusion5.0、 python、COBOL、SAP-ABAP语言。

Fortify SCA功能

审计功能：

1.安全问题审计结果、审计类别划分和问题旁注功能。

2.安全审计自动导航功能

3.安全漏洞扫描结果的汇总和问题优先级别划分功能。

4.安全问题定位和问题传递过程跟踪功能。

5.安全问题查询和过滤功能。

6.安全问题描述和推荐修复建议。

扫描分析功能：

1.独特的控制流分析技术精确地跟踪业务操作的先后顺序，发现因代码构造不合理而带来的软件安全隐患。

2.独特的配置流分析技术分析软件的配置和代码的关系，发现在软件配置和代码之间，配置丢失或者不一致而带来的安全隐患

3.独特的数据流分析技术，跟踪被感染的、可疑的输入数据，直到该数据被不安全使用的全过程，并跨越整个软件的各个层次和编程语言的边界。

4.独特的语义分析技术发现易于遭受攻击的语言函数或者过程，并理解它们使用的上下文环境，并标识出使用特定函数或者过程带来的软件安全的隐患

5.独特的代码结构分析技术从代码的结构方面分析代码，识别代码结构不合理而带来的安全弱点和问题。

6.自定义安全代码规则功能。

Fortify SCA演示

代码审计工具Fortify SCA特别说明

安装前确保系统为64位Windows/Linux，JDK版本必须≥11且配置JAVA_HOME。
安装路径禁止包含中文或空格，否则扫描报错；首次运行需以管理员身份执行，否则规则库更新失败。
常见问题：扫描无结果？检查项目编码是否为UTF-8，且源代码未被加密/混淆。
使用禁忌：严禁同时运行多个扫描进程，易导致数据库损坏；不要直接修改安装目录下的配置文件。
异常解决：若报“OutOfMemory”，在sourceanalyzer命令后添加-Xmx4g；若报“许可证无效”，检查license文件是否放在正确目录且未过期。
重要提醒：扫描结束后务必清除临时文件（默认在%TEMP%/Fortify），防止敏感代码泄露。
必设选项：规则包建议选择“核心+云安全”以覆盖OWASP Top 10；审计时启用“Delta扫描”仅分析变更代码，大幅提升效率。
避坑要点：扫描前关闭杀毒软件实时监控，避免误删临时进程；使用Maven/Gradle项目时，确保已安装对应插件并执行clean install生成class文件。