Fortify软件强化静态代码分析器使软件更快地生产HPFortify静态代码分析器我想知道比较WebInspect与FortifySCA？选项04-01-201209:56PM我将决定仅选择WebInspect和FortifySCA或FortifySCA。与FortifySCA的WebInspect有什么不同？（例如特征比较）WebInspect和FortifySCA都有用于测试如何相同或不同的模块或功能？可以Fortify仅使用源代码扫描还是使用URL扫描？Re：我想知道比较WebInspect与FortifySCA？选项04-05-201201:47PM在这里，您可以在WebInspect论坛中找到更好的运气：华克斯WebInspect是攻击Web应用程序的DAST工具。SCA是用于定位安全漏洞的SAST工具，是源代码。与任何DAST和SAST比较一样，它们都覆盖着重叠和差距，而不是像维恩图。两者可以在惠普的企业控制台后分析中汇集在一起，进行相关和审查。WebInspect可以：-Windows应用程序-只测试实时网址和网络服务-黑盒测试仪，处SCA：-运行在各种操作系统（Windows，*NIX，Mac）-可以在IDE中，从CLI或构建服务器运行-只测试源代码-白盒测试仪，处FortifySCA庞大的安全编码规则包跨层、跨语言地分析代码的漏洞的产生C，C++，.Net，Java，JSP，PL/SQL，T-SQL，XML，CFMLJavaScript，PHP，ASP，VB，VBScript精que地定位漏洞的产生的全路径支持不同的软件开发平台Platform:Windows，Solaris，RedHatLinux，MacOSX，HP-UX，IBMAIXIDEs:VisualStudio，Eclipse，RAD，WSADSourceCodeAnalysisEngine（源代码分析引擎）数据流分析引擎-----跟踪，记录并分析程序中的数据传递过程的安全问题语义分析引擎-----分析程序中不安全的函数，方法的使用的安全问题结构分析引擎-----分析程序上下文环境，结构中的安全问题控制流分析引擎-----分析程序特定时间，源代码扫描工具fortify价格，状态下执行操作指令的安全问题配置分析引擎-----分析项目配置文件中的敏感信息和配置缺失的安全问题特有的X-Tier?跟踪qi-----跨跃项目的上下层次，贯穿程序来综合分析问题Fortify软件强化静态代码分析器使软件更快地生产“将FINDBUGSXML转换为HPFORTIFYSCAFPR|MAIN|CA特权身份管理员安全研究白皮书?强化针对JSSEAPI的SCA自定义规则滥用允许所有的行动应用程序不检查服务器发送的数字证书是否发送到客户端正在连接的URL。Java安全套接字扩展（JSSE）提供两组API来建立安全通信，一个HttpsURLConnectionAPI和一个低级SSLSocketAPI。HttpsURLConnectionAPI默认执行主机名验证，再次可以通过覆盖相应的HostnameVerifier类中的verify（）方法来禁用（在GitHub上搜索以下代码时，大约有12，800个结果）。HostnameVerifierallHostsValid=newHostnameVerifier（）{publicbooleanverify（Stringhostname，SSLSessionsession）{返回真}};SSLSocketAPI不开箱即可执行主机名验证。以下代码是Java8片段，仅当端点标识算法与空字符串或NULL值不同时才执行主机名验证。privatevoidcheckTrusted（X509Certificate[]chain，StringauthType，SSLEngineengine，源代码检测工具fortify价格，booleanisClient）throwsCertificateException{...StringidentityAlg=engine.getSSLParameters（）。getEndpointIdentificationAlgorithm（）;if（identityAlg！=null&&identityAlg.length（）！=0）{checkIdentity（session，chain[0]，identityAlg，源代码审计工具fortify价格，isClient，getRequestedServerNames（发动机））;}...}当SSL/TLS客户端使用原始的SSLSocketFactory而不是HttpsURLConnection包装器时，识别算法设置为NULL，fortify价格，因此主机名验证被默认跳过。因此，如果攻击者在客户端连接到“domain.com”时在网络上具有MITM位置，则应用程序还将接受为“some-evil-domain.com”颁发的有效的服务器证书。这种记录的行为被掩埋在JSSE参考指南中：“当使用原始SSLSocket和SSLEngine类时，您应该始终在发送任何数据之前检查对等体的凭据。SSLSocket和SSLEngine类不会自动验证URL中的主机名与对等体凭源代码审计工具fortify价格-华克斯信息由苏州华克斯信息科技有限公司提供。苏州华克斯信息科技有限公司位于苏州工业园区新平街388号。在市场经济的浪潮中拼博和发展，目前华克斯在行业软件中享有良好的声誉。华克斯取得全网商盟认证，标志着我们的服务和管理水平达到了一个新的高度。华克斯全体员工愿与各界有识之士共同发展，共创美好未来。)