7分钟前 西南源代码检测工具fortify规则库承诺守信 苏州华克斯[华克斯25b461e]内容：
FortifySCA服务可交付材料
源代码安全风险评估的目标文档描述了这些内容：
l 针对对黑ke感兴趣的资产、代码实现上的错误，这些错误将危及这些资产的安全，以及在使用的技术和编程语言中常见错误；
l 针对每一个已经识别漏洞的报告，包括所发现漏洞的概述、影响和严重性以及再现该漏洞的步骤和可用于修复该漏洞缺限的补救措施建议；
l 终源代码安全风险评估报告详细说明本次风险评估结果、成果和整体印象、审查期间发现的问题、进行额外审查的建议，以及针对已确定漏洞进行补救的建议。
FortifySCA软件安全管理器是软件安全分析、管理的综合平台。
帮助软件开发的管理人员统计和分析软件安全的风险、趋势，跟踪和定wei软件安全漏洞，提供足够多的软件安全质量方面的真实的状态信息以便于管理人员制定安全管理决策及编码规则。
在不可以修改源代码的情況下，实为理xiang的解决办法
直接安装在应用系统二进制码上 —— 完全不需要源代码
快、易于安装及部署
为大部份已知的漏洞提供防御
Fortify软件
强化静态代码分析器
使软件更快地生产
HPE Security Fortify SCA和SSC是为DevOps SDLC提供动力的新功能
关于本网络研讨会
随着威胁的发展，应用程序的安全性也将如此。 HPE Security Fortify继续创建并开创新功能，进一步自动化和简化应用安全测试程序。 了解与DevOps要求相一致的新的静态扫描进展。 了解扫描分析如何进一步增强和改进审核流程，以提高安全扫描结果的相关性。
记录2016年10月26日27分钟
由
Fortify的产品经理Michael Right，Fortify的产品经理Emil Kiner
Fortify软件
强化静态代码分析器
使软件更快地生产
“将FINDBUGS XML转换为HP FORTIFY SCA FPR | MAIN | CA特权身份管理员安全研究白皮书»
强化针对JSSE API的SCA自定义规则滥用
允许所有的行动
应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。
Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnection API和一个低级SSLSocket API。
HttpsURLConnection API默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12,800个结果）。
HostnameVerifier allHostsValid = new HostnameVerifier（）{
public boolean verify（String hostname，SSLSession session）{
返回真
}
};
SSLSocket API不开箱即可执行主机名验证。以下代码是Java 8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。
private void checkTrusted（X509Certificate [] chain，String authType，SSLEngine engine，boolean isClient）
throws CertificateException {
...
String identityAlg = engine.getSSLParameters（）。
getEndpointIdentificationAlgorithm（）;
if（identityAlg！= null && identityAlg.length（）！= 0）{
checkIdentity（session，chain [0]，identityAlg，isClient，
getRequestedServerNames（发动机））;
}
...
}
当SSL / TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-”颁发的有效的服务器证书。
这种记录的行为被掩埋在JSSE参考指南中：
“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。 SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭