上海源代码审计工具fortify价格表服务为先「华克斯」欲戴王冠必承其重

5分钟前 上海源代码审计工具fortify价格表服务为先「华克斯」[华克斯25b461e]内容：{AppScan}​黑盒扫描工具{WebInspect/MobileCenter​/AppScan}渗透测试{AppScan}​黑盒扫描工具

{AppScan}黑盒扫描工具

AppScan® 是一个适合safety engineering的 Web 应用程序和 Web 服务渗透测试解决方案。

关键功能：

· 对现代 Web 应用程序和服务执行自动化的动态应用程序安全测试 (DAST) 和交互式应用程序安全测试 (IAST)。

· 支持 Web 2.0、Javascript 和 AJAX 框架的all round Javascript 执行引擎。

· 涵盖 XML 和 JSON 基础架构的REST Web 和 SOAP 服务测试支持 WS-Security 标准、XML 加密和 XML 签名。

· 详细的漏洞公告和修复建议。

· 40 多种合规性报告，包括支付卡行业数据安全标准 (PCI DSS)、支付应用程序数据安全标准 (PA-DSS)、ISO 27001 和 ISO 27002，以及 basel II。

.提供的自定义功能和可扩展性。

{WebInspect/MobileCenter​/AppScan}渗透测试

渗透测试应用安全expert团队以模拟恶意hacker的攻击方法，在不影响业务系统正常运行的情况下在渐进逐步的找到系统弱点、技术缺陷或安全漏洞等，进而协助客户解决系统存在的一系列安全问题，提高系统的防御能力，并出具渗透测试报告。

应用类型支持：Web应用、移动APP应用、Web Service、Rest API等。

审计类型支持：路径遍历、可预测资源位置、认证不充分、蛮力、邮件命令注入、目录索引、内容电子欺骗、会话预测、权限不足、远程文件包含、HTTP请求分割/响应分割、拒绝服务等900+类型。

渗透测试工具支持：Appscan、Webinspect。

一、对比分析我们使用WebGoat做为测试用例，来分析一下两个产品的差异。

1、使用工具：

ØFortify SCA ØSonarQube

2、使用默认规则，不做规则调优。

3、扫描后直接导出报告，不做审计。

二、扫描问题总览

Fortify SCA扫描结果报告：

从上边可以看出：Fortify扫描出Critical和High级别的漏洞共计757条。

SonarQube扫描出阻断和严重级别的漏洞为28条，关于软件质量问题有2K+条。

三、Fortify扫描内容分析

Fortify扫描出来的内容，基本上都是和安全相关的信息。例如：ØPrivacy ViolationØCross-Site scripting: ReflectedØCross-Site scripting: PersistentØSQL Injection