===================================================================================
程式碼審計工具彙總：
https://download.csdn.net/download/wutianxu123/10703087

===================================================================================

環境搭建

1 理論基礎

針對於JavaWeb的程式碼審計工作環境的部署，其實如果是以服務的方式為客戶的程式碼進行審計，審計的環境一般都會相對複雜，會面臨幾種情況：

1、最理想的環境，客戶提供程式碼同時有對應的測試環境，這樣的話就可以黑盒+白盒進行審計，可以提高審計的效率和覆蓋度。

2、只提供專案原始碼，需要自己梳理整個專案原始碼的架構，通讀所有關鍵程式碼，相對時間成本比較大，但是可以徹底瞭解整個專案原始碼並且挖掘出高質量漏洞。

3、只提供原始碼片段，這種情況首先需要跟客戶溝通是否可以提供完整專案原始碼，否則是在一定程度影響原始碼審計的完整性，因為部分功能程式碼片段可能會找不到呼叫的介面函式，無法追蹤業務邏輯程式碼。

所以客戶的程式碼審計服務基本上沒有搭建環境的情況，因為他們不會提供資料庫。

一般搭建環境是因為需要測試某種案例，或者測試某種防護，或者自己搭建去審計一些開源的網站。

開源CMS JEECMS下載地址http://www.jeecms.com/download.html

2 環境軟體可以從以下網址中獲得

3 環境安裝可以從以下網址檢視安裝圖文指南

4 JEECMS v7軟體安裝部署教程參考v5版本

工具使用

1 Eclipse

使用Eclipse的Import功能將程式程式碼匯入workspace，開啟任一java原始檔，選擇Source Analyse選單下的條目進行關鍵方法搜尋，搜尋結果在視窗下面顯示，然後進行人工分析。

2 Sublime Text

3 Fortify SCA程式碼審計工具

Fortify SCA 是一個靜態的、白盒的軟體原始碼安全測試工具。它通過內建的五大主要分析引擎：資料流、語義、結構、控制流、配置流等對應用軟體的原始碼進行靜態的分析，分析的過程中與它特有的軟體安全漏洞規則集進行全面地匹配、查詢，從而將原始碼中存在的安全漏洞掃描出來，並給予整理報告。

Fortify SCA 的工作原理：

Foritfy SCA 首先通過呼叫語言的編譯器或者直譯器把前端的語言程式碼（如VB原始碼）轉換成一種中間媒體檔案NST（Normal Syntax Tree）將其原始碼之間的呼叫關係，執行環境，上下文等分析清楚。然後再通過五大分析引擎從五個切面來分析這個NST，匹配所有規則庫中的漏洞特徵，一旦發現漏洞就抓取出來。最後形成包含詳細漏洞資訊的FPR結果檔案

Fortify SCA是一個產品的套件，它是由內建的分析引擎、安全編碼規則包、審查工作臺、規則自定義編輯器和嚮導、IDE 外掛五部分元件，五個元件配合工作完成對原始碼安全漏洞的掃描，分析，檢視，審計等工作。簡單介紹這五個部分如下：

分析引擎：內建五大分析引擎與規則包配合工作，從五個側面全面地分析程式原始碼中的安全漏洞。

安全編碼規則包：由多位頂級的軟體安全專家，多年研究出來的數十萬條軟體安全漏洞特徵的集合。目前能查找出來約350多種安全漏洞，內建在SCA中與分析引擎配合工作。

審計工作臺：一個用來檢視，審計SCA分析出來的漏洞結果的綜合的平臺，它包含大量的豐富的軟體漏洞的資訊，如下圖2 所示，它包括了漏洞的分級，漏洞產生的全過程，漏洞所在的原始碼行數定位，以及漏洞的解釋說明和推薦的修復建議等內容，極大地方便地使用者對SCA的檢視，審計等工作。

規則自定義嚮導/編輯器：Fortify SCA的規則支援自定義功能，方便使用者來擴充套件SCA對漏洞的分析能力，所以SCA提供了一個使用者自定義的嚮導和編輯器。

IDE外掛：為了方便使用者使用SCA對程式原始碼進行安全掃描，它提供了多種IDE工具的外掛，如Eclipse, Visual Studio,RAD, WSAD等。

Foritfy SCA主要包含的五大分析引擎：

資料流引擎：跟蹤,記錄並分析程式中的資料傳遞過程所產生的安全問題
語義引擎：分析程式中不安全的函式,方法的使用的安全問題。
結構引擎：分析程式上下文環境,結構中的安全問題。
控制流引擎：分析程式特定時間,狀態下執行操作指令的安全問題。
配置引擎：分析專案配置檔案中的敏感資訊和配置缺失的安全問題。

4 Findbugs

FindBugs 是一個靜態分析工具，它檢查類或者 JAR 檔案，將位元組碼與一組缺陷模式進行對比以發現可能的問題。有了靜態分析工具，就可以在不實際執行程式的情況對軟體進行分析。不是通過分析類檔案的形式或結構來確定程式的意圖，而是通常使用 Visitor 模式來鑑別程式碼是否符合一些固定的規範。