fortify

Fortify漏洞之 Path Manipulation 路径篡改问题解决笔记

一.问题描述在使用Fortify扫描项目时，产生如下缺陷，该问题是说使用如下代码：request.getParameter(“bizId”)直接作为上传文件名称组成字段时会产生路径篡改FileRelationrelation
dazhong2012·2020-06-23 03:09

Fortify 5.1漏洞整改方案（1）

很多企业对代码的安全性有着很高的要求，目前使用的较为多的扫描代码安全漏洞的工具为Fortify5.1。以下为一些漏洞的解决方案，欢迎指正。
chongweimei5390·2020-06-22 22:58

Fortify漏洞之 Privacy Violation（隐私泄露）和 Null Dereference（空指针异常）

继续对Fortify的漏洞进行总结，本篇主要针对PrivacyViolation（隐私泄露）和NullDereference（空指针异常）的漏洞进行总结，如下：1.1、产生原因：PrivacyViolation
arkqyo2595·2020-06-22 15:15

Fortify漏洞之Sql Injection（sql注入）

公司最近启用了Fortify扫描项目代码，报出较多的漏洞，安排了本人进行修复，近段时间将对修复的过程和一些修复的漏洞总结整理于此！本篇先对Fortify做个简单的认识，同时总结一下sql注入的漏洞！
arkqyo2595·2020-06-22 15:15

三大代码审计工具对比

三大代码审计工具的对比（源伞科技Pinpoint、Checkmarx、Fortify）源伞科技Pinpoint源伞科技2016年由香港科大团队创立，立足于国际水平的学术研究积累,秉承工匠精神，致力用最先进的自动程序分析技术保障软件质量
SourceBrella·2020-06-22 05:13

Fortify SCA快速入门以及常见问题解决方法

本篇将透过HP_Fortify_SCA_and_Apps_3.80从实用主义的角度入手，使读者能够快速的对该工具进行使用和对一些可能出现的常见问题进行处理，从而完成一个完整流程的源代码安全性静态扫描测试
xreztento·2020-06-21 14:18

fortify 漏洞扫描的几种解决方式

Fortify扫描遇到了PathManipulation问题，定位代码如下：1.FilepublisFile=null;2.Filepubli
wuhenlove·2020-06-21 14:39

fortify代码扫描使用教程

配置信息：HPFortifySCAandApplications4.10+WIN7（64位家庭版）打开fortify的工作台，选择AdvancedScan（如果你知道源代码是java的可以选择ScanJava
不卑不亢。·2020-06-21 12:57

商业级别Fortify白盒神器介绍与使用分析

什么是fortify它又能干些什么？答：fottify全名叫：FortifySCA，是HP的产品，是一个静态的、白盒的软件源代码安全测试工具。
qq_27446553·2020-06-21 04:10

fortify——Unreleased Resource: Streams

一般有两种方法：a.手动关闭+异常处理br.close。b.FileUtil.closeStream(fis);导入：importorg.apache.commons.io.IOUtils;1.prop.load(ConfigUtil.class.getResourceAsStream("/config.properties"));//UnreleasedResource:StreamsgetRe
勤奋的菜才是我·2020-06-21 00:13

java web安全小习惯

在javaweb编程中，要注意一些安全问题，sql注入、任意文件上传、文件下载漏洞、数据库密码泄露等，可以多参考owasptop10的常见漏洞，结合fortify白盒测试工具中漏扫结果，养成一个良好的编程习惯
littlebin404·2020-04-06 23:57

利用SonarQube + jenkins + maven搭建代码安全审计平台

目前国内外有许多代码审计商业产品，如Fortify、Checkmarx、360代码卫士等，价格不菲，另外也有一些以云服务方式的代码审计产品，需要代码上传到云端进行审计，存在核心
rogger·2020-03-26 03:52

【崩溃】android socket,文件打开过多造成的崩溃

问题链接https://stackoverflow.com/questions/30521826/fortify-source-fd-set-file-descriptor-fd-setsize-calling-abort
gerg_peng·2020-03-25 16:49

一步一步学pwn之栈溢出利用（2）

SSP(StackSmashesProtect)leak1.利用的是_stack_chk_fail中的fortify的报错泄露信息，在栈溢出的时候数组月结写入，导致Canary值被修改，在函数退出的时候检查
yahoo0o0·2020-03-23 02:33

petbook

保护比常规保护多了个fortify，上网查了下，大概就是和栈保护都是gcc的新的为了增强保护的一种机制，防止缓冲区溢出攻击这道题看了很久都没找出漏洞，后来看了一下师傅的wp，才发现有个未初始化对象的洞，
2mpossible·2020-03-07 03:52

糖果单词 7.21 fortify, crisis, fickle

fortify/ˈfɔːrtɪfaɪ/v.fortifysomething(againstsomebody/something)tomakeaplacemoreabletoresistattack;tomakesomebody
胡椒北·2020-02-09 02:37

SDL中Fortify扫描漏洞及修复方式

  现在越来越多的企业要做SDL方案，安全编码是其中的一环，而安全编码，很多时候是借助扫描工具来发现漏洞，企业常用的代码扫描工具有Fortify、Checkmarx等，我经历的公司大多都是用Fortify
Magicknight·2020-02-06 11:53

Fortify漏洞修复——Log Forging日志伪造

一、LogForging是什么？LogForging的中文翻译为日志伪造，是指在系统后台输出的日志中含有前端用户输入的内容，用户可以输入特定的符号或者代码，从而篡改日志中原本应该输出的正常内容。我们先来看下如下的代码：publicvoidgetDemo(HttpServletRequestreq,HttpServletResponseresp){Stringuri=req.getRequestUR
文景大大·2019-12-13 09:33

C++ rand的安全性分析

使用Fortify做源码审计的时候，经常会爆出rand()函数不随机，为什么不随机呢？下面来看看代码。多次运行以下程序，会发现多次运行的结果都是相同的，说明种子发生器是固定的。
魔法剑客·2019-12-06 21:22

代码审计工具Fortify 17.10及Mac平台license版本

介绍17.10版本安装指导工具使用云端试用价值介绍FortifySCA是一个静态源代码安全测试工具。它通过内置的五大主要分析引擎对源代码进行静态的分析和检测，分析的过程中与其特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并整理生成完整的报告。扫描的结果中不但包括详细的安全漏洞的信息，还会有相关的安全知识的说明，并提供相应的修复建议。FortifySCA支持超过
systemino·2019-11-17 19:55

XML External Entity Injection(XXE)

写在前面安全测试fortify扫描接口项目代码，暴露出标题XXE的问题,记录一下。
习惯沉淀·2019-10-31 14:00

SonarQube LTS 7.9 特性概要

新增加了6种语言的支持新增了对于go、ruby、Kotlin、Scala等6种流行语言的支持，共计支持语言数量达到27种，与Fortify基本持平。
liumiaocn·2019-10-23 20:04

代码审计--16--Fortify SCA详细（上）

代码审计--16--FortifySCA详细（上）本文链接：https://blog.csdn.net/wutianxu123/article/details/829497701.1FortifySCA概述1、SourceCodeAnalysis阶段概述AuditWorkbench会启动FortifySCA“Scanning（扫描）”向导来扫描和分析源代码。该向导整合了以下几个分析阶段：转换：使用
留念土豆·2019-10-23 10:25

Python代码审计-实例三则

fortify拓展插件貌似也支持python审计，至少原版我没成功过。但，前不久一个小伙伴还是问了我python代码审计的问题，code终究还是code，万变不离其宗，今天笔者
RabbitMask·2019-09-30 13:59

Fortify漏洞修复总结

1.代码注入1.1命令注入命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一种攻击方式。问题代码：$dir=$_POST['dir']exec("cmd.exe/cdir"+$dir);修复方案：（1）程序对非受信的用户输入数据进行净化，删除不安全的字符。（2）限定输入类型,创建一份安全字符串列表，限制用
辉是暖阳辉·2019-09-21 10:00

Fortify安全漏洞一般处理方法

前段时间公司又一轮安全审查，要求对各项目进行安全扫描，排查漏洞并修复，手上有几个历史项目，要求在限定的时间内全部修复并提交安全报告，也不清楚之前是如何做的漏洞修复，这次使用工具扫描出来平均每个项目都还有大概100来个漏洞。这些漏洞包括SQL语句注入，C#后端代码，XML文件，以及前端HTML,JS代码几个方面，由于一些项目比较老旧，限定的时间又短，做大的改动如果测试不到位，很难保证不出什么问题,所
wxdongtt2007·2019-09-14 16:00

fortify扫描安全漏洞，fastjson安全漏洞

Fastjson安全漏洞，升级版本后，引发的问题。使用fastjson将json字符串转换成对象jsonStr：json格式的字符串(Map)JSONObject.parseObject(jsonStr,Map.class);因fastjson安全漏洞需要升级升级后使用上面转换就出现问题。每次只能将json格式的字符串最外层的内容解析为object，如果jsonStr中包含list对象时，解析出来
EngineerForSoul·2019-09-11 15:19

教你写测试

测试开发结合实际例子介绍相关测试框架的使用Findbugs,Fortify，SonarQube，PMD也会做简单介绍文章目录单元测试UnitTest(UT)JUnit4/5MockitoHowservice
Elvis丶·2019-07-27 20:06

自动化代码审计系统

代码审计系统https://github.com/yingshang/banruo该系统是使用python3的django去开发，队列使用celery+redis，最后调用代码审计工具fortify进行审计代码
Bypass·2019-07-04 16:00

安全实践小结

1.常用的安全工具以下几类：漏洞扫描-Nessus(https://www.tenable.com/products/nessus/nessus-professional)代码安全扫描-Fortify/
运维人生·2019-07-02 13:26

代码质量利器：Fortify SCA使用指南：1

静态代码分析器SCA（StaticCodeAnalyzer）：包含多种语言的安全相关的规则，而对于这些规则相关的违反状况则是SCA重点确认的内容。SCA可以做到快速准确定位修正场所，同时还可以定制安全规则。在使用上SCA主要按照如下步骤进行：步骤1:单独运行SCA或者将SCA与构建工具进行集成步骤2:将代码转换为临时的中间格式步骤3:对转换的中间格式的代码进行扫描，生成安全合规性的报告步骤4:对结
liumiaocn·2019-06-11 22:08

源代码扫描工具Fortify SCA与FindBugs的简单对比

前段时间因为工作原因需要对java源代码进行扫描，现结合使用经验对静态代码扫描工具FortifySCA与FindBugs进行一个简单的对比。一、FortifySCAFortifySCA是由全球领先的软件安全产品解决方案供应商FortifySoftware开发，致力于帮助客户在软件开发生命周期中建立安全机制，杜绝软件安全漏洞，避免经济上和声誉上的损失。扫描原理：FortifySCA首先通过调用语言的
canyezhizi·2019-06-05 19:00

Fortify 漏洞 由 nextInt() 实施的随机数生成器不能抵挡加密攻击

亲测可用：/***随机数生成*@paramseed*@return*/publicstaticintnextInt(intseed){returnnewSecureRandomTest().getRandom(seed);}/***随机数生成*@return*/publicstaticintnextInt(){returnnewSecureRandomTest().getRandom();}pub
meng8203·2019-01-25 11:16

代码审计小结一

PS:因为手头没有具备license的代码审计工具，所以网上找了一个fortify，license至2008年。
feekee·2019-01-21 22:57

Fortify 5.1漏洞整改方案

转自：https://my.oschina.net/u/2416209/blog/983585很多企业对代码的安全性有着很高的要求，目前使用的较为多的扫描代码安全漏洞的工具为Fortify5.1。
Dongguabai·2018-11-16 15:46

源代码审计工具

源代码安全测试软件北京宽广创想科技有限公司李冬生[email protected]的Fortify是一个静态的、白盒的软件源代码安全扫描工具
李冬生·2018-11-15 15:12

代码审计--17--Fortify SCA详细（下）

1.2使用FortifySCA1、扫描Java项目“ScanJavaProject（扫描Java项目）”向导将转换阶段和分析阶段合并为一个简单的步骤。使用此功能可以扫描源那些代码位于单个目录中的小型Java项目。使用步骤详细描述扫描新的Java项目打开AuditWorkbench。系统会显示开始页面在“NewProjects（新项目）”中，单击ScanJavaProject（扫描Java项目）。系
随 亦·2018-10-06 11:54

代码审计--16--Fortify SCA详细（上）

1.1FortifySCA概述1、SourceCodeAnalysis阶段概述AuditWorkbench会启动FortifySCA“Scanning（扫描）”向导来扫描和分析源代码。该向导整合了以下几个分析阶段：转换：使用源代码创建中间文件，源代码与一个BuildID相关联，BuildID通常就是项目名称。扫描与分析：扫描中间文件，分析代码，并将结果写入一个FortifyProjectResul
随 亦·2018-10-06 11:53

Fortify漏洞之Insecure Randomness（不安全随机数）

原文链接：http://www.cnblogs.com/meInfo/p/9141948.html继续对Fortify的漏洞进行总结，本篇主要针对InsecureRandomness漏洞进行总结，如下：
arkqyo2595·2018-06-05 21:00

2018-03-30

fortify-sourcethefortify-sourcewillmakefunctionslikestrcatto__strcat_chk...Itsabuiltinoptimizationwayinmoderngcctocloseit
韦恩老爷·2018-05-04 12:00

Fortify5.1+VS2005使用总结

系统环境：win764位软件版本:fortify5.1破解版（网上仅存这一版破解大概在1.9G左右，其中包含一个不可用的VS2005），VS2005。
CaesarsTesla·2018-04-19 16:53

一些奇怪的东西

defined(YCM)&&1#define_FORTIFY_SOURCE0#pragmaGCCoptimize("Ofast,no-stack-protector")#pragmaGCCtarget(
mengbi_er·2017-12-05 11:29

安装psutil报错问题

64-2.7creatingbuild/temp.linux-x86_64-2.7/psutilgcc-pthread-fno-strict-aliasing-O2-g-pipe-Wall-Wp,-D_FORTIFY_SOURCE
ora_dy·2017-10-23 09:42

iOS安全攻与防(总篇)

iOS安全攻与防本地数据攻与防httpsUIWebview第三方sdk与xcode反编译与代码混淆越狱与反调试扫描工具fortify常见接口漏洞分析本地数据攻与防APP文件下的本地存储Documents
天机否·2017-09-13 11:39

iOS安全攻与防(总篇)

iOS安全攻与防本地数据攻与防httpsUIWebview第三方sdk与xcode反编译与代码混淆越狱与反调试扫描工具fortify常见接口漏洞分析本地数据攻与防APP文件下的本地存储Documents
tianjifou·2017-09-13 10:39

Fortify代码扫描解决方案

Fortify扫描漏洞解决方案：LogForging漏洞：1.数据从一个不可信赖的数据源进入应用程序。在这种情况下，数据经由getParameter()到后台。2.数据写入到应用程序或系统日志文件中。
月眸·2017-08-24 09:00

每逢周五倍开心

及时求助，效率高今天Fortify代码扫描工具的研究很顺利，接连搞定了用ant构建的uca和maven构建的ict。昨天钻到死胡同里去了，临下班发了封求助邮件，早上来就被解决了，一个很低级的问题。
高琳旭·2017-04-21 23:12

读取项目中properties文件中的账号密码进行加密解密

在安全认证中的Fortify静态代码分析器的扫描中，如果密码明文放在文件中是肯定过不去的。需求解决方案：下面具体结合SSH的框架的代码实现。
dsiori·2017-01-04 17:48

尝试规避"FORTIFY_SOURCE: FD_SET: file descriptor >= FD_SETSIZE"

Android5.0及以上，select调用会检查fd大小，是否超过1024，如果超过就会提示：FORTIFY_SOURCE:FD_SET:filedescriptor>=FD_SETSIZE.Callingabort
ckanhw·2016-12-08 10:40

针对Fortify工具扫描出几大漏洞的解决办法总结--1

Fortify是一款能扫描分析代码漏洞的强大工具，这里就不详细介绍，有兴趣了解的同学可以自己找些相关资料来看看。
abcxy12336·2016-08-27 15:45
上一页 1 2 3 4 5 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他