浮雲雅築: Fortify SCA

顯示具有 Fortify SCA 標籤的文章。顯示所有文章

2025年9月4日星期四

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Info

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Info

2025-08-29

下圖，嘗試添加 Info 部分，僅顯示Info不是0的情況，結果 Folder 畫面似乎不支援顯示 Info 數量。

下圖，Category 支援顯示 Info 數量的框

下圖，詳細說明也沒有。

(完)

相關

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Info

[研究]Fortify SAST ( SCA ) 的 Quick View 的 Cirtical, High 為何比 Security Auditor View 要少 ?
https://shaurong.blogspot.com/2025/09/fortify-sast-sca-quick-view-cirtical.html

[研究]Fortify SAST (SCA) Quick View 與 Security Auditor View 差異比較
https://shaurong.blogspot.com/2025/09/fortify-sast-sca-quick-view-security.html

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Critical, High 數量為 0
https://shaurong.blogspot.com/2025/08/opentext-fortify-sast-sca-critical-high.html

2025年8月29日星期五

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Critical, High 數量為 0

[研究]Opentext Fortify SAST (SCA) 讓客製化報告 Critical, High 數量為 0

2025-08-29

靜態程式碼分析工具 25.0 版開始簡稱 SAST，之前簡稱 SCA

Opentext Fortify SAST（Static Application Security Testing）
Opentext Fortify SCA (Static Code Analyzer)

Fortify SAST 並不是能 100% 保證不會誤判 (就像防毒軟體、黑箱 Web 弱點掃描工具、黑箱主機弱點掃描工具、滲透測試、、、也是)。但是若遇到業主 or 上司、主管硬是要求 Critical, High, Medium, 甚至 Low 在程式碼修改掃瞄後都必須達到 0 的情況，原廠也不是沒有提供一些應對措施，例如在 AWB (AuditWorkBench) 設定為 Hide (隱藏)，產出的 pdf 報告就不會有。

本篇是從「客製化報告」產出 .pdf 時著手。

********************************************************************************

【問題數量】

原來 .xml 中 (若有)，砍掉。

共找到 $TOTAL_FINDINGS$ 個問題

********************************************************************************

【目錄清單】

原來 .xml 中，修改 <Refinement></Refinement> 內容

<SubSection enabled="true">
    <Title>Issues by Folder</Title>
    <Description>A table summarizing the number of issues found and the breakdown of issues in each Fortify Priority Level</Description>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement></Refinement>
        <Chart chartType="table">
            <Axis>Folder</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>

改為

<SubSection enabled="true">
    <Title>Issues by Folder</Title>
    <Description>A table summarizing the number of issues found and the breakdown of issues in each Fortify Priority Level</Description>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:none</Refinement>
        <Chart chartType="table">
            <Axis>Folder</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>

產出 .pdf 報告上畫面

[fortify priority order] 預設會抓 critical, high, medium, low 的資訊，改成不存在的名稱後，就變成 0。

********************************************************************************

【類別清單】

原來 .xml 中

<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:critical</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:high</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:medium</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:low</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>

改為

<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:critical none</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:high none</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:medium none</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>
<SubSection enabled="true">
    <Title>Issues By Category</Title>
	<IssueListing limit="-1" listing="false" showShortFileNames="false">
        <Refinement>[fortify priority order]:low none</Refinement>
        <Chart chartType="table">
            <Axis>Category</Axis>
            <MajorAttribute>Analysis</MajorAttribute>
        </Chart>
    </IssueListing>
</SubSection>

畫面

********************************************************************************

【結果概要】

原來 .xml 中

<ReportSection enabled="true" optionalSubsections="true">
    <Title>Critical Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:critical</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>High Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:high</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>Medium Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:medium</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>Low Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:low</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>

改為

<ReportSection enabled="true" optionalSubsections="true">
    <Title>Critical Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:none</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>High Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:none</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>Medium Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:none</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>
<ReportSection enabled="true" optionalSubsections="true">
    <Title>Low Results Outline</Title>
    <SubSection enabled="true">
        <Title>Vulnerability Examples by Category</Title>
        <Description>Results summary of all issue categories.  Vulnerability examples are provided by category.</Description>
		<IssueListing limit="-1" listing="true" showShortFileNames="false">
            <Refinement>[fortify priority order]:none</Refinement>
            <Chart chartType="list">
                <Axis>Category</Axis>
                <MajorAttribute>Analysis</MajorAttribute>
            </Chart>
        </IssueListing>
    </SubSection>
</ReportSection>

畫面

********************************************************************************

(完)

相關

2025年2月5日星期三

[研究]Fortify SCA : Insecure Randomness (不安全的亂數) 之解決(二)

[研究]Fortify SCA : Insecure Randomness (不安全的亂數) 之解決(二)

2025-02-05

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 19

********************************************************************************

[研究]Fortify SCA : Insecure Randomness 之解決
https://shaurong.blogspot.com/2022/08/fortify-sca-insecure-randomness.html

[研究]Fortify SCA : Insecure Randomness (不安全的亂數) 之解決(二)
https://shaurong.blogspot.com/2025/02/fortify-sca-insecure-randomness.html

********************************************************************************

Default.aspx

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="Default.aspx.cs" 
    Inherits="WebApplication1.Default" %>

<!DOCTYPE html>

<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
    <title></title>
</head>
<body>
    <form id="form1" runat="server">
    </form>
</body>
</html>

Default.aspx.cs

using System;
using System.Security.Cryptography;
namespace WebApplication1
{
    public partial class Default : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            // Fortify SCA 報告有 "Insecure Randomness" 問題
            Random rand = new Random(Guid.NewGuid().GetHashCode());
            string newPassword = "Pwd" + rand.Next(10000000, 99999999).ToString() + "$";   // max : 2147483647;

            // 通過 Fortify SCA 的 "Insecure Randomness" 檢查
            string newPassword2 = GenerateSecurePassword();

        }
        public static string GenerateSecurePassword()
        {
            int randomNumber = GetSecureRandomNumber(10000000, 99999999);
            return "Pwd" + randomNumber.ToString() + "$";
        }

        private static int GetSecureRandomNumber(int min, int max)
        {
            if (min >= max) throw new ArgumentException("min must be less than max");

            using (RandomNumberGenerator rng = RandomNumberGenerator.Create())
            {
                byte[] bytes = new byte[4]; // 生成 4-byte 的隨機數
                rng.GetBytes(bytes);
                int value = BitConverter.ToInt32(bytes, 0) & int.MaxValue; // 轉為正整數
                return (value % (max - min + 1)) + min;
            }
        }
    }
}

(完)

相關

2025年1月16日星期四

[研究]Jenkins + Fortify SCA 出現 Build timed out 問題之解決

2025-01-13

經過時間 01:15:56.34

Fortify Static Code Analyzer 24.4.0.0114 (using JRE 17.0.11)

Modules:

.NET Frontend 24.4.0.0114

.NET and ASP.NET Translators 24.4.0.0114

AngularJS Translator Utils 24.4.0.0114

Apex Translator 24.4.0.0114

C/C++ Translator (CTran) 24.4.0.0012

COBOL Translator 83

Flight release_24.4.0!08319_95f4d1f5ca557+00127_9676a526c99e2

Go Translator 24.4.0.0114 HEAD

Kotlin Translator 24.4.0.0114

Legacy Apex Translator 24.4.0.0114

Legacy Translators 24.4.0.0114

MSBuild Plugin 24.4.0.0114

Modified Rhino 24.4.0.0114

PHP Translator 24.4.0.0114

Python Translator 24.4.0.0114

SCA Backend 24.4.0.0114

SCA Frontend 24.4.0.0114

SCA Platform 24.4.0.0114

Analyzing 7351 source file(s)

Build timed out (after 90 minutes). Marking the build as aborted.

[build-timeout] Global time out activated

建置已中斷

(下圖)新安裝的 Jenkins

解決方法

* 把 Enable Global Time Out 的打勾取消 (預設是沒限制的)，或把目前設定的 90 分鐘加大。

* 提升硬體效能，增加 CPU、增加 RAM、增加剩餘硬碟空間、、、等。

* Forfify SCA 建議的 RAM 是 32 GB。

(完)

2024年7月16日星期二

[研究] Opentext / Micro Focus Fortify SCA 產品生命週期、EOS、EOL

[研究] Opentext / Micro Focus Fortify SCA 產品生命週期、EOS、EOL

2024-07-16

Opentext Product Support Lifecycle (Opentext 產品生命週期)

https://www.microfocus.com/productlifecycle/

Fortify Static Code Analyzer 產品生命週期、EOS : End of Service、EOL : End of Life

(完)

2024年4月3日星期三

[研究]ASP.NET, WebForm, 程式 File.Open 被 Fortify SCA 報告有 Portability Flaw File Separator (Medium) 問題

[研究]ASP.NET, WebForm, 程式 File.Open 被 Fortify SCA 報告有 Portability Flaw File Separator (Medium) 問題

2024-04-02

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 19

********************************************************************************

ASP.NET, WebForm, 下面程式其中 using (FileStream fs = File.Open(openFilename, FileMode.Open)) 被 Fortify SCA 報告有 portability flaw file separator 問題

報告提供建議為

FileStream f = File.Create(directoryName + Path.DirectorySeparatorChar.ToString() + fileName);

********************************************************************************

實際測試

Default.aspx

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="Default.aspx.cs" 
    Inherits="WebApplication1.Default" %>

<!DOCTYPE html>

<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
    <title></title>
</head>
<body>
    <form id="form1" runat="server">
        <asp:FileUpload ID="FileUpload1" runat="server" />
        <asp:Button ID="Button1" runat="server" Text="Button" OnClick="Button1_Click" />
        <asp:Button ID="Button2" runat="server" Text="Button" OnClick="Button2_Click" />
        <asp:Button ID="Button3" runat="server" OnClick="Button3_Click" Text="Button" />
        <asp:Button ID="Button4" runat="server" OnClick="Button4_Click" Text="Button" />
    </form>
</body>
</html>

Default.aspx.cs

using System;
using System.IO;

namespace WebApplication1
{
    public partial class Default : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {

        }

        protected void Button1_Click(object sender, EventArgs e)
        {
            string fd = @"D:\Temp";
            string mainFileName = Path.GetFileNameWithoutExtension(FileUpload1.FileName);
            string openFilename = fd + mainFileName + "-匯入結果" + DateTime.Now.ToString("yyyy-MM-dd-HH-mm-ss-fff") + ".ods";
            FileUpload1.SaveAs(openFilename);
            using (FileStream fs = File.Open(openFilename, FileMode.Open))
            {
            }
        }

        protected void Button2_Click(object sender, EventArgs e)
        {
            string fd = @"D:\Temp";
            string mainFileName = Path.GetFileNameWithoutExtension(FileUpload1.FileName);
            string openFilename = Path.Combine(fd, mainFileName + "-匯入結果" + DateTime.Now.ToString("yyyy-MM-dd-HH-mm-ss-fff") + ".ods");
            FileUpload1.SaveAs(openFilename);
            using (FileStream fs = File.Open(openFilename, FileMode.Open))
            {
                // do something
            }
        }

        protected void Button3_Click(object sender, EventArgs e)
        {
            string fd = @"D:\Temp";
            string mainFileName = Path.GetFileNameWithoutExtension(FileUpload1.FileName);
            string openFilename = fd + mainFileName + "-匯入結果" + DateTime.Now.ToString("yyyy-MM-dd-HH-mm-ss-fff") + ".ods";
            openFilename = openFilename.Replace('/', Path.DirectorySeparatorChar).Replace('\\', Path.DirectorySeparatorChar);
            FileUpload1.SaveAs(openFilename);
            using (FileStream fs = File.Open(openFilename, FileMode.Open))
            {
                // do something
            }
        }

        protected void Button4_Click(object sender, EventArgs e)
        {
            string fd = @"D:\Temp";
            string mainFileName = Path.GetFileNameWithoutExtension(FileUpload1.FileName);
            string openFilename = Path.Combine(fd, mainFileName + "-匯入結果" + DateTime.Now.ToString("yyyy-MM-dd-HH-mm-ss-fff") + ".ods");
            openFilename = openFilename.Replace('/', Path.DirectorySeparatorChar).Replace('\\', Path.DirectorySeparatorChar);
            FileUpload1.SaveAs(openFilename);
            using (FileStream fs = File.Open(openFilename, FileMode.Open))
            {
                // do something
            }
        }
    }
}

Fortify SCA依然報告有問題 (黃色)，暫時不知 Fortify SCA 要怎樣才滿意。

(待續)

相關

[研究]ASP.NET, WebForm, 程式 File.Open 被 Fortify SCA 報告有 Portability Flaw File Separator (Medium) 問題
https://shaurong.blogspot.com/2024/04/aspnet-webform-fileopen-fortify-sca.html

[研究]ASP.NET, Fortify SCA 報告CreateDirectory()有 Portability Flaw: File Separator (可移植性缺陷檔案分隔符) 問題
https://shaurong.blogspot.com/2024/03/aspnet-fortify-sca-createdirectory-path.html

2024年3月11日星期一

[研究]ASP.NET, Fortify SCA 報告CreateDirectory()有 Portability Flaw: File Separator (可移植性缺陷檔案分隔符) 問題

[研究]ASP.NET, Fortify SCA 報告CreateDirectory()有 Portability Flaw: File Separator (可移植性缺陷檔案分隔符) 問題

2024-03-11

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 19

********************************************************************************

【Fortify SCA】Details

Abstract:

由於使用了 Hardcoded 檔案分隔符號，因此在第 15 行呼叫 CreateDirectory() 會造成可移植性問題。

Explanation:

不同的作業系統會使用不同的字元來做為檔案分隔符號。例如，Microsoft Windows 系統使用的是「\」，而 UNIX 系統則使用「/」。若要在不同的平台上執行應用程式，則 Hardcoded 檔案分隔符號會導致應用程式邏輯的執行不正確，與可能的 Denial of Service。

在此案例中，Default.aspx.cs 的第 15 行呼叫 CreateDirectory() 時使用了硬式編碼的檔案分隔符號。

範例 1：以下程式碼使用 Hardcoded 檔案分隔符號來開啟檔案：

FileStream f = File.Create(directoryName + "\\" + fileName);

敝人註： "\\" 可寫成 @"\"

********************************************************************************

【Fortify SCA】Recommendations:

為了寫入行動程式碼，就要避免使用 Hardcoded 檔案分隔符號。請使用語言程式庫所提供的平台獨立 API。

範例 2：以下程式碼實作與 Example 1 相同的功能，但使用平台獨立 API 來指定檔案分隔符號：

FileStream f = File.Create(directoryName + Path.DirectorySeparatorChar.ToString() + fileName);

*******************************************************************************

【ChatGPT】

User

ASP.NET, WebForm, 如何避免 Fortify SCA 報告下面程式有 Path Manipulation 問題

string fd = (string)ConfigurationManager.AppSettings["InformationSystemFiles"] + "\\";
if (!System.IO.Directory.Exists(fd))
{
  System.IO.Directory.CreateDirectory(fd);
}

Fortify SCA 指出的 Path Manipulation 問題可能是由於在構建檔案路徑時未使用安全的方式。為了避免這個問題，你可以改用 Path.Combine 方法來建構檔案路徑，這樣可以確保路徑被正確地合併。

這裡是如何修改你的程式碼：

string folderPath = ConfigurationManager.AppSettings["InformationSystemFiles"];
string fullPath = Path.Combine(Server.MapPath(folderPath), ""); // 使用 MapPath 將相對路徑轉換為絕對路徑
if (!Directory.Exists(fullPath))
{
    Directory.CreateDirectory(fullPath);
}

這樣做的好處是，Path.Combine 會處理路徑分隔符號和驅動器名稱的差異，確保生成的路徑是正確格式的。同時，使用 Server.MapPath 將相對路徑轉換為絕對路徑，這樣可以確保你的應用程序可以正確地找到指定的資源路徑。

這樣做可以幫助你避免 Fortify SCA 報告中指出的 Path Manipulation 問題。

********************************************************************************

【實際測試】

Web.Config

<?xml version="1.0" encoding="utf-8"?>
<!--
  如需如何設定 ASP.NET 應用程式的詳細資訊，請前往
  https://go.microsoft.com/fwlink/?LinkId=169433
  -->
<configuration>
  <system.web>
    <compilation debug="true" targetFramework="4.8" />
    <httpRuntime targetFramework="4.8" />
  </system.web>
  <system.codedom>
    <compilers>
      <compiler language="c#;cs;csharp" extension=".cs" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.CSharpCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:1659;1699;1701" />
      <compiler language="vb;vbs;visualbasic;vbscript" extension=".vb" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.VBCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:41008 /define:_MYTYPE=\&quot;Web\&quot; /optionInfer+" />
    </compilers>
  </system.codedom>
  <appSettings>
    <add key="TempFolder" value="D:\Production2\TempImageFiles\" /><!--有產生，Fortify SCA沒通過-->
    <add key="TempFolder2" value="\TempImageFiles2\" /><!--有產生，Fortify SCA通過-->
    <add key="TempFolder3" value="\TempImageFiles3\" /><!--沒產生-->
    <add key="TempFolder4" value="D:\Production4\TempImageFiles\" /><!--沒產生-->
    <add key="TempFolder5" value="D:\Production5\TempImageFiles\" /><!--有產生，Fortify SCA通過-->
    <add key="TempFolder6" value="\TempImageFiles6\" /><!--沒產生-->
  </appSettings>
</configuration>

Default.aspx

<%@ Page Language="C#" AutoEventWireup="true" 
    CodeBehind="Default.aspx.cs" Inherits="WebApplication1.Default" %>

<!DOCTYPE html>

<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
<meta http-equiv="Content-Type" content="text/html; charset=utf-8"/>
    <title></title>
</head>
<body>
    <form id="form1" runat="server">
        <div>
        </div>
    </form>
</body>
</html>

Default.aspx.cs

using System;
using System.Configuration;
using System.IO;

namespace WebApplication1
{
    public partial class Default : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            //有產生，Fortify SCA 沒通過
            string fd = (string)ConfigurationManager.AppSettings["TempFolder"] + "\\";
            if (!System.IO.Directory.Exists(fd))
            {
                System.IO.Directory.CreateDirectory(fd);
            }

            //有產生，Fortify SCA 通過
            string fd5 = (string)ConfigurationManager.AppSettings["TempFolder5"] + Path.DirectorySeparatorChar.ToString();
            if (!System.IO.Directory.Exists(fd5))
            {
                System.IO.Directory.CreateDirectory(fd5);
            }

            //沒有產生，Fortify SCA 通過
            string fd6 = (string)ConfigurationManager.AppSettings["TempFolder6"] + Path.DirectorySeparatorChar.ToString();
            if (!System.IO.Directory.Exists(fd6))
            {
                System.IO.Directory.CreateDirectory(fd6);
            }

            //有產生，Fortify SCA 通過
            string folderPath = ConfigurationManager.AppSettings["TempFolder2"];
            string fullPath = Path.Combine(Server.MapPath(folderPath), ""); // 使用 MapPath 將相對路徑轉換為絕對路徑
            if (!Directory.Exists(fullPath))
            {
                Directory.CreateDirectory(fullPath);
            }

            //沒有產生，Fortify SCA 沒通過
            string fd3 = (string)ConfigurationManager.AppSettings["TempFolder3"] + "\\";
            if (!System.IO.Directory.Exists(fd3))
            {
                System.IO.Directory.CreateDirectory(fd3);
            }

            //System.Web.HttpException: ''D:/Production4/TempImageFiles/' 是實體路徑，但必須使用虛擬路徑。'
            //string folderPath4 = ConfigurationManager.AppSettings["TempFolder4"];
            //string fullPath4 = Path.Combine(Server.MapPath(folderPath4), ""); // 使用 MapPath 將相對路徑轉換為絕對路徑
            //if (!Directory.Exists(fullPath4))
            //{
            //    Directory.CreateDirectory(fullPath4);
            //}
        }
    }
}

(完)

相關

2024年3月8日星期五

[研究]ASP.NET，Fortify SCA 報告 CreateDirectory(); 有 Path Manipulation 問題

2024-03-08

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 19

********************************************************************************

【Fortify SCA報告】

Abstract:

攻擊者可以控制在 WebForm1.aspx.cs 中第 126 行的 CreateDirectory() 的檔案系統路徑引數，可讓他們存取或修改原本受保護的檔案。

Explanation:

當發生以下兩種情況的時候，會產生 path manipulation 錯誤：

1.攻擊者可以指定在檔案系統操作中所使用的路徑。

2. 攻擊者可藉由指定資源來取得一般情況下不被允許的權限。

例如，程式可能會讓攻擊者能夠覆寫指定的檔案，或是能夠在攻擊者控制的組態下執行。

在此案例中，攻擊者可以指定在 WebForm1.aspx.cs 中第 123 行的 get_AppSettings() 進入程式的值，而且可使用此值存取 WebForm1.aspx.cs 中第 126 行的 CreateDirectory() 的檔案系統資源。

範例 1：以下的程式碼使用 HTTP 要求的輸入建立一個檔案名稱。程式設計師沒有考慮到攻擊者能夠提供檔案名稱類似「..\\..\\Windows\\System32\\krnl386.exe」的可能性，這會導致應用程式刪除重要的 Windows 系統檔案。

String rName = Request.Item("reportName");

...

File.delete("C:\\users\\reports\\" + rName);

範例 2：以下程式碼使用來自配置檔案的輸入，來決定要開啟哪個檔案並返回給使用者。如果程式需要適當權限才能執行，且惡意使用者可以變更配置檔案，則他們可以使用程式來讀取系統中結尾副檔名為「.txt」的任意檔案。

sr = new StreamReader(resmngr.GetString("sub")+".txt");

while ((line = sr.ReadLine()) != null) {

Console.WriteLine(line);

}

********************************************************************************

【Fortify SCA報告】

Recommendations:

避免　Path Manipulation　的最佳方法是使用間接方法：建立合法值的清單，而使用者只能從清單中選取。使用此方法，使用者所提供的輸入就不會直接用來指定資源名稱。

但在某些情況下，這種方法是不切實際的，因為這樣一份合法資源名稱太過於龐大或是太難以維護。在這些情況下，程式設計師通常會實作拒絕清單。在使用輸入資料前，拒絕清單會選擇性的拒絕或避開可能有危險的字元。不過，任何此類不安全字元清單可能都不完整，並且幾乎肯定會過期。一個更好的方法是建立字元清單。此清單會列出允許出現於資源名稱中的字元，並僅接受由核准集中的字元組成的輸入。

Tips:

1. 如果您滿意程式執行自訂輸入驗證，請使用 Fortify Custom Rules Editor 為該驗證常式建立清楚的規則。

2. 實作有效的拒絕清單非常困難。如果驗證邏輯需要實作拒絕清單，應對驗證抱持懷疑的態度。在不同的作業系統、資料庫或其他資源中，不同類型的輸入編碼以及不同的中繼字元組可能會解譯成不同的意義。請確定如果這些要求有變更的話，拒絕清單是否可以輕鬆、正確、完整的更新。

3. 有許多現代的 Web 架構提供執行使用者輸入驗證的機制 (包括 ASP.NET 要求驗證和 WCF)。為了突顯未驗證的輸入來源，Fortify 安全編碼檢查規則會降低 Fortify Static Code Analyzer 所報告之問題的攻擊可能性，並在使用框架驗證機制時提供支援證據的指標，以動態重新排列其優先順序。如果是 ASP.NET 要求驗證，我們也會針對何時明確停用驗證提供證據。我們將此功能稱為「內容相關性排名」。為了進一步協助 Fortify 使用者進行稽核程序，Fortify Software 安全研發團隊提供了資料驗證專案範本，該範本會依據套用到其輸入來源的驗證機制，按資料夾對問題進行分組。

********************************************************************************

請問 ASP.NET, WebForm, Fortify SCA 報告 System.IO.Directory.CreateDirectory(fd); 有 Path Manipulation 問題，但 fd 是動態字串，如何解決？

if (!System.IO.Directory.Exists(fd))
{
  System.IO.Directory.CreateDirectory(fd);
}

ChatGPT

在這種情況下，您可以通過使用絕對路徑來消除潛在的路徑操作漏洞。您可以確保 fd 是一個絕對路徑，而不是相對於某個基本目錄的相對路徑。這樣做可以防止惡意使用者通過修改 fd 來操縱系統的文件系統。

以下是一種方法：

// 檢查是否為絕對路徑
if (Path.IsPathRooted(fd))
{
    // 確保路徑合法性
    if (!fd.Contains("..") && !fd.Contains(":"))
    {
        // 檢查目錄是否存在，如不存在，則創建之
        if (!Directory.Exists(fd))
        {
            Directory.CreateDirectory(fd);
        }
    }
    else
    {
        // 處理非法路徑的情況，例如包含 ".." 或 ":" 的路徑
        // 可以記錄日誌或採取其他適當的措施
    }
}
else
{
    // 處理相對路徑的情況，因為這可能會導致路徑操作漏洞
    // 可以記錄日誌或採取其他適當的措施
}

這樣當程式執行到 using 敘述的結尾時，StreamReader 會自動被關閉，確保資源被釋放。這能夠確保你的程式碼在執行時不會造成資源洩漏。

********************************************************************************

有無任何 NuGet 套件可以解決 ? 我是 ASP.NET, .NET Framework, WebForm

ChatGPT

有一個不需要安裝額外 NuGet 套件的解決方案。

在 .NET Framework 中，您可以使用 Server.MapPath 方法來將虛擬路徑轉換為實際文件系統路徑。這個方法會將虛擬路徑映射到伺服器上的實際路徑，並且會自動處理任何路徑操作漏洞。

這裡是如何使用 Server.MapPath 方法來創建目錄的示例：

// 將虛擬路徑映射到實際文件系統路徑
string physicalPath = Server.MapPath(fd);

// 檢查目錄是否存在
if (!Directory.Exists(physicalPath))
{
    // 創建目錄
    Directory.CreateDirectory(physicalPath);
}

這樣，您就可以在 ASP.NET WebForms (.NET Framework) 中安全地創建目錄，而不需要擔心路徑操作漏洞。

********************************************************************************

【實際測試】

Web.Config

<?xml version="1.0" encoding="utf-8"?>
<!--
  如需如何設定 ASP.NET 應用程式的詳細資訊，請前往
  https://go.microsoft.com/fwlink/?LinkId=169433
  -->
<configuration>
  <system.web>
    <compilation debug="true" targetFramework="4.8" />
    <httpRuntime targetFramework="4.8" />
  </system.web>
  <system.codedom>
    <compilers>
      <compiler language="c#;cs;csharp" extension=".cs" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.CSharpCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:1659;1699;1701" />
      <compiler language="vb;vbs;visualbasic;vbscript" extension=".vb" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.VBCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:41008 /define:_MYTYPE=\&quot;Web\&quot; /optionInfer+" />
    </compilers>
  </system.codedom>
  <appSettings>
    <add key="TempFolder" value="D:\Production\TempImageFiles\" />
  </appSettings>
</configuration>

Default.aspx.cs

using System;
using System.Configuration;
using System.IO;

namespace WebApplication1
{
    public partial class Default : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            // Test 1
            string fd = (string)ConfigurationManager.AppSettings["TempFolder"] + @"\";
            if (!System.IO.Directory.Exists(fd))
            {
                System.IO.Directory.CreateDirectory(fd);
            }

            // Test 2
            // 將虛擬路徑映射到實際文件系統路徑
            string physicalPath = Server.MapPath(fd);

            // 檢查目錄是否存在
            if (!Directory.Exists(physicalPath))
            {
                // 創建目錄
                Directory.CreateDirectory(physicalPath);
            }
        }
    }
}

測試結果顯示，ChatGPT 方法可行。

********************************************************************************

【實際測試】雖然 Fortify SCA 可過關，但是程式實際執行，會出錯。

System.Web.HttpException: ''D:/Production2/TempImageFiles/' 是實體路徑，但必須使用虛擬路徑。'

User

執行失敗，System.Web.HttpException: ''C:/Production/TempImageFiles/' 是實體路徑，但必須使用虛擬路徑。'

ChatGPT

對不起，我誤解了您的情況。在 ASP.NET WebForms 中，Server.MapPath 方法將虛擬路徑映射到實際的伺服器文件系統路徑，但您遇到的錯誤是因為 Server.MapPath 方法只能用於將虛擬路徑映射到應用程式的虛擬目錄，而不能映射到任意的實體路徑。

如果您無法使用虛擬路徑，那麼您可能需要從另一個角度解決您的問題。這裡有幾種方法可以嘗試：

使用絕對路徑並進行驗證：您可以直接使用絕對路徑，並在使用之前進行嚴格的驗證，以確保路徑是安全的。這可能涉及檢查路徑是否位於預期的目錄結構中，並且不包含任何惡意的路徑操作。
使用配置文件設定：您可以在 Web.config 或 App.config 文件中定義路徑，然後在應用程式中使用這些設定。這樣做可以提供一個中央地點來管理您的路徑，同時還可以避免直接將路徑硬編碼到您的程式碼中。
限制用戶輸入：如果可能，儘量限制用戶輸入的選項，以減少對路徑操作的潛在攻擊面。您可以使用下拉列表、勾選框或預定義的選項來控制用戶可以選擇的路徑。

請根據您的情況選擇最適合您需求的方法。如果您需要進一步的幫助，請告訴我們您的需求，我們將竭誠為您服務。

********************************************************************************

修改程式

Web.Config

<?xml version="1.0" encoding="utf-8"?>
<!--
  如需如何設定 ASP.NET 應用程式的詳細資訊，請前往
  https://go.microsoft.com/fwlink/?LinkId=169433
  -->
<configuration>
  <system.web>
    <compilation debug="true" targetFramework="4.8" />
    <httpRuntime targetFramework="4.8" />
  </system.web>
  <system.codedom>
    <compilers>
      <compiler language="c#;cs;csharp" extension=".cs" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.CSharpCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:1659;1699;1701" />
      <compiler language="vb;vbs;visualbasic;vbscript" extension=".vb" type="Microsoft.CodeDom.Providers.DotNetCompilerPlatform.VBCodeProvider, Microsoft.CodeDom.Providers.DotNetCompilerPlatform, Version=2.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" warningLevel="4" compilerOptions="/langversion:default /nowarn:41008 /define:_MYTYPE=\&quot;Web\&quot; /optionInfer+" />
    </compilers>
  </system.codedom>
  <appSettings>
    <add key="TempFolder" value="D:\Production\TempImageFiles\" />
    <add key="TempFolder2" value="\TempImageFiles2\" />
  </appSettings>
</configuration>

Default.aspx.cs

using System;
using System.Configuration;
using System.IO;

namespace WebApplication1
{
    public partial class Default : System.Web.UI.Page
    {
        protected void Page_Load(object sender, EventArgs e)
        {
            // Test 1
            string fd = (string)ConfigurationManager.AppSettings["TempFolder"] + @"\";
            if (!System.IO.Directory.Exists(fd))
            {
                System.IO.Directory.CreateDirectory(fd);
            }

            // Test 2
            // 將虛擬路徑映射到實際文件系統路徑
            //string physicalPath = Server.MapPath(fd);
            string fd2 = (string)ConfigurationManager.AppSettings["TempFolder2"] + @"\";
            string physicalPath = Server.MapPath(fd2);

            // 檢查目錄是否存在
            if (!Directory.Exists(physicalPath))
            {
                // 創建目錄
                Directory.CreateDirectory(physicalPath);
            }
        }
    }
}

下圖，Deploy 到網站，執行，目錄建立成功。

再次掃描，Fortify SCA 過關。

********************************************************************************

結論：使用 Server.MapPath 搭配虛擬路徑，可通過 Fortify SCA 的 Path Manipulation 檢查。

(完)

相關

2022年4月13日星期三

[研究][Fortify SCA]原始碼變數最好不要包含的字串

2022-04-13

Fortify SCA (Static Cde Analyzer) 做源碼安全掃描時，會把含有某些字串的變數，當成特殊用途的字串，報告又多了一條或數條要修正的。

變數中盡量不要包含的字串：password, pwd

********************************************************************************

High 等級 Password Management Empty Password 問題 (密碼值為空字串)

string newPwdHash = "";

Details

Abstract:

Empty Password 可能會導致無法輕易修正系統安全性的問題。

Explanation:

將空白字串指派給密碼變數絕對不是個好方法。如果使用 Empty Password 成功地在另一個系統驗證，因為對應帳戶接受 Empty Password，其安全性很可能因此受到攻擊。如果在指派合法值給該變數之前，Empty Password 只是預留位置，這樣會讓不熟悉程式碼的使用者感到困惑，而且可能在無法預期的控制流路徑上產生問題。

範例 1：

NetworkCredential netCred = new NetworkCredential("scott", "", domain);

如果 Example 1 中的程式碼連線成功，表示網路憑證登入「scott」是以 Empty Password 配置，攻擊者可輕易地猜測出此密碼。程式發佈後，需要變更程式碼才可以更新帳戶以使用非 Empty Password。

範例 2：以下程式碼將密碼變數初始化為空白字串，嘗試讀取已儲存的密碼值，並與使用者提供的值進行比較。

string storedPassword = "";

string temp;

if ((temp = ReadPassword(storedPassword)) != null) {

storedPassword = temp;

}

if(storedPassword.Equals(userPassword))

// Access protected resources

}

如果 readPassword() 因為資料庫錯誤或其他問題而無法擷取儲存的密碼，攻擊者就可藉由提供空白字串給 userPassword 而輕易地略過密碼檢查。

Recommendations:

務必從加密的外部資源讀取儲存的密碼值，並指派有意義的值給密碼變數。確保絕不要使用空白或 null 密碼來保護敏感資源。

從 Microsoft(R) Windows(R) 2000 開始，Microsoft(R) 提供了 Windows Data Protection Application Programming Interface (DPAPI)，這是一個基於 OS 層的服務，可保護敏感的應用程式的資料，如密碼或者密鑰 [1]。

Tips:

1. 為識別 null、Empty Password 或 Hardcoded Password，預設規則只考慮包含 password 一詞的欄位及變數。然而，Fortify Custom Rules Editor 會提供 Password Management 精靈，方便您建立規則來偵測自訂名稱欄位與變數的密碼管理問題。

References:

[1] Windows Data Protection, Microsoft, 2001, https://msdn.microsoft.com/en-us/library/ms995355.aspx

********************************************************************************

High 等級 Password Management Hardcoded Password 問題 ( 變數包含的 password 字串)

string myPassword = value;

Abstract:

硬式編碼的密碼會導致無法輕易修正系統的安全性問題。

Explanation:

將密碼硬式編碼在程式碼中絕對不是明智的想法。將密碼硬式編碼不僅可讓所有的專案開發人員查看密碼，也會使得修復問題的工作變得很困難。產生程式碼以後，除非修補軟體，否則無法變更密碼。如果受密碼保護的帳戶出現問題，系統的所有者將必須在安全性和可行性之間做出選擇。

在此案例中，密碼用於存取 DataClasses.designer.cs中第 420 行的 Equals() 資源。

範例：下列程式碼使用 Hardcoded Password 來建立網路憑證：

NetworkCredential netCred =

new NetworkCredential("scott", "tiger", domain);

此程式碼能夠成功執行，但任何有程式碼存取權的人都可以存取密碼。程式發佈後，除非修補此程式，否則可能無法變更網路憑證使用者「scott」和密碼「tiger」。若員工有此資訊的存取權，則可能會使用此資訊來進入並破壞系統。如果攻擊者可存取應用程式的可執行碼，他們可以將程式碼分解，而此程式碼包含了所使用密碼的值。

Recommendations:

請勿將密碼硬式編碼，且通常應該要將密碼模糊化，並於外部資源中進行管理。將密碼以純文字方式儲存於系統的任一處，任何有足夠權限的人都可以讀取密碼，並可能誤用密碼。

Microsoft(R) 提供了一個工具，可以與 Windows Data Protection application programming interface (DPAPI) 一起使用以保護組態設定檔案中敏感的應用程式項目 [1]。

Tips:

References:

[1] Scott Mitchell, Protecting Connection Strings and Other Configuration Information, Microsoft, https://docs.microsoft.com/en-us/aspnet/web-forms/overview/data-access/advanced-data-access-scenarios/protecting-connection-strings-and-other-configuration-information-cs

********************************************************************************

High等級 Password Management Password in Configuration File 問題

Web.Config 中變數名稱包含 password

<add name="mySysConnectionString" connectionString="Data Source=.;Initial Catalog=myDB;User ID=myAdmin;Password=密碼" providerName="System.Data.SqlClient" />

此處 Password 是語法使用的變數名稱，不可能換掉。

解法(1)

[研究] [ASP.NET] Web.Config 連線字串加密、解密方法
http://shaurong.blogspot.com/2017/09/aspnet-webconfig.html

除了上述方法，(2)也可在人工分析報告說明是誤判；(3)掃描前，先註解掉；或(4)在 Fortify Audit Workbench 要產出 pdf 報告前，選該項，按下滑鼠右鍵，選 Hide an AWB。

********************************************************************************

(完)

2022年1月29日星期六

[研究] Fortify SCA 報告 .ftp 無法快按滑鼠鍵兩下開啟

[研究] Fortify SCA 報告 .ftp 無法快按滑鼠鍵兩下開啟

2022-01-29

Micro Focus Static Code Analyzer 如果同時安裝兩套或多套，一套移除時，.fpr的檔案關聯會被移除，導致報告 .ftp 無法快按滑鼠鍵兩下開啟。

可匯入「登錄編輯程式」(Regedit.exe) 的 .reg 檔案解決。內容如下：

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\.fpr]
@="fprfile"

[HKEY_CLASSES_ROOT\fprfile]
@="fprfile"

[HKEY_CLASSES_ROOT\fprfile\DefaultIcon]
@="C:\\Program Files\\Fortify\\Fortify_SCA_and_Apps_21.2.2\\Core\\resources\\icons\\fpr.ico"

[HKEY_CLASSES_ROOT\fprfile\shell]

[HKEY_CLASSES_ROOT\fprfile\shell\Open with Fortify AWB]

[HKEY_CLASSES_ROOT\fprfile\shell\Open with Fortify AWB\command]
@="\"C:\\Program Files\\Fortify\\Fortify_SCA_and_Apps_21.2.2\\bin\\auditworkbench.cmd\" \"%1\""

(完)

2021年11月9日星期二

[研究]疑似 Fortify SCA 或 Jenkins 產生的殘檔

[研究]疑似 Fortify SCA 或 Jenkins 產生的殘檔

2021-11-09

目前安裝的是 21.1.2 版，下面幾個目錄似乎一陣子沒更新了。

C:\Users\Administrator\AppData\Local\Fortify\sca19.2

C:\Users\Administrator\AppData\Local\Fortify\sca20.1

C:\Users\Administrator\AppData\Local\Fortify\sca20.2

(完)

2021年8月11日星期三

[研究][Gitea + Jenkins + Fortify SCA]此專案參考這部電腦上所缺少的 NuGet 套件。請啟用 NuGet 套件還原

[研究][Gitea + Jenkins + Fortify SCA]此專案參考這部電腦上所缺少的 NuGet 套件。請啟用 NuGet 套件還原

2021-08-10

簽入程式碼到 Git Server ( Gitea )，觸發 Jenkins 叫 Micro Focus Fortify SCA ( Static Code Analyzer ) 做原始碼安全性掃描 ( 源碼掃描 )，結果出現錯誤，JenKins 的 Console 畫面如下：

********************************************************************************

由遠端主機 [0:0:0:0:0:0:0:1] 啟動

Running as SYSTEM

建置中工作區 D:\Jenkins\workspace\MyWebApplicationJob

The recommended git tool is: NONE

using credential 6f061234-4d34-12fd-8d77-210523486289

Cloning the remote Git repository

Cloning repository http://192.168.128.100:3000/MyRepos/MyWebApplicationRepo.git

> C:\Program Files\Git\cmd\git.exe init D:\Jenkins\workspace\MyWebApplicationJob # timeout=10

Fetching upstream changes from http://192.168.128.100:3000/MyRepos/MyWebApplicationRepo.git

> C:\Program Files\Git\cmd\git.exe --version # timeout=10

> git --version # 'git version 2.31.1.windows.1'

using GIT_ASKPASS to set credentials

> C:\Program Files\Git\cmd\git.exe fetch --tags --force --progress -- http://192.168.128.100:3000/MyRepos/MyWebApplicationRepo.git +refs/heads/*:refs/remotes/origin/* # timeout=10

> C:\Program Files\Git\cmd\git.exe config remote.origin.url http://192.168.128.100:3000/MyRepos/MyWebApplicationRepo.git # timeout=10

> C:\Program Files\Git\cmd\git.exe config --add remote.origin.fetch +refs/heads/*:refs/remotes/origin/* # timeout=10

Avoid second fetch

> C:\Program Files\Git\cmd\git.exe rev-parse "refs/remotes/origin/master^{commit}" # timeout=10

Checking out Revision c3d6b6ca3baebf2b48c1888cb056d9395746aeff (refs/remotes/origin/master)

> C:\Program Files\Git\cmd\git.exe config core.sparsecheckout # timeout=10

> C:\Program Files\Git\cmd\git.exe checkout -f c3d6b6ca3baebf2b48c1888cb056d9395746aeff # timeout=10

Commit message: "test"

First time build. Skipping changelog.

No emails were triggered.

[MyWebApplicationJob] $ cmd /c call C:\Users\ADMINI~1\AppData\Local\Temp\jenkins323591801080432531.bat

D:\Jenkins\workspace\MyWebApplicationJob>D:\BuildTool\nuget.exe restore .\MyWebApplication\MyWebApplication.sln

MSBuild auto-detection: using msbuild version '16.10.2.30804' from 'C:\Program Files (x86)\Microsoft Visual Studio\2019\Enterprise\MSBuild\Current\Bin'.

Restoring NuGet package ckeditor-full.4.16.1.

Restoring NuGet package MailKit.2.14.0.

Restoring NuGet package elmah.corelibrary.1.2.2.

Restoring NuGet package jQuery.3.6.0.

Restoring NuGet package Antlr.3.5.0.2.

Restoring NuGet package jQuery.UI.Combined.1.12.1.

Restoring NuGet package EntityFramework.6.4.4.

Restoring NuGet package elmah.1.2.2.

Adding package 'Antlr.3.5.0.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'ckeditor-full.4.16.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'elmah.1.2.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'jQuery.UI.Combined.1.12.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'jQuery.3.6.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'elmah.corelibrary.1.2.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'MailKit.2.14.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'EntityFramework.6.4.4' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'elmah.corelibrary.1.2.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'elmah.1.2.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.AspNet.Identity.EntityFramework.2.2.3.

Restoring NuGet package Microsoft.AspNet.Identity.Core.2.2.3.

Added package 'Antlr.3.5.0.2' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.AspNet.Identity.EntityFramework.zh-Hant.2.2.3.

Adding package 'Microsoft.AspNet.Identity.Core.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Microsoft.AspNet.Identity.EntityFramework.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Microsoft.AspNet.Identity.EntityFramework.zh-Hant.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.AspNet.Identity.EntityFramework.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.AspNet.Identity.Owin.2.2.3.

Added package 'Microsoft.AspNet.Identity.EntityFramework.zh-Hant.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.AspNet.Web.Optimization.1.1.3.

Adding package 'Microsoft.AspNet.Identity.Owin.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.AspNet.Identity.Core.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Owin.4.2.0.

Added package 'jQuery.UI.Combined.1.12.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Owin.Host.SystemWeb.4.2.0.

Adding package 'Microsoft.AspNet.Web.Optimization.1.1.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.AspNet.Identity.Owin.2.2.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Owin.Security.4.2.0.

Added package 'jQuery.3.6.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Owin.Security.Cookies.4.2.0.

Adding package 'Microsoft.Owin.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Microsoft.Owin.Host.SystemWeb.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.AspNet.Web.Optimization.1.1.3' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Owin.Security.OAuth.4.2.0.

Adding package 'Microsoft.Owin.Security.Cookies.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Microsoft.Owin.Security.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Microsoft.Owin.Security.OAuth.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.Owin.Security.Cookies.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Microsoft.Web.Infrastructure.1.0.0.

Added package 'Microsoft.Owin.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package MimeKit.2.14.0.

Adding package 'MimeKit.2.14.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.Owin.Host.SystemWeb.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Newtonsoft.Json.13.0.1.

Adding package 'Microsoft.Web.Infrastructure.1.0.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.Owin.Security.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Owin.1.0.0.

Adding package 'Newtonsoft.Json.13.0.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Owin.1.0.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.Web.Infrastructure.1.0.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package Portable.BouncyCastle.1.8.10.

Added package 'Owin.1.0.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package System.Buffers.4.5.1.

Adding package 'System.Buffers.4.5.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Adding package 'Portable.BouncyCastle.1.8.10' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Microsoft.Owin.Security.OAuth.4.2.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Restoring NuGet package WebGrease.1.6.0.

Adding package 'WebGrease.1.6.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'System.Buffers.4.5.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'MimeKit.2.14.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'WebGrease.1.6.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Portable.BouncyCastle.1.8.10' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'ckeditor-full.4.16.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'Newtonsoft.Json.13.0.1' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'MailKit.2.14.0' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

Added package 'EntityFramework.6.4.4' to folder 'D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages'

NuGet Config files used:

C:\Users\Administrator\AppData\Roaming\NuGet\NuGet.Config

C:\Program Files (x86)\NuGet\Config\Microsoft.VisualStudio.Offline.config

Feeds used:

C:\Users\Administrator\.nuget\packages\

https://api.nuget.org/v3/index.json

C:\Program Files (x86)\Microsoft SDKs\NuGetPackages\

Installed:

25 package(s) to packages.config projects

D:\Jenkins\workspace\MyWebApplicationJob>exit 0

Path To MSBuild.exe: C:\Program Files (x86)\Microsoft Visual Studio\2019\Enterprise\MSBuild\Current\Bin\amd64\msbuild.exe

Executing the command cmd.exe /C " "C:\Program Files (x86)\Microsoft Visual Studio\2019\Enterprise\MSBuild\Current\Bin\amd64\msbuild.exe" .\MyWebApplication\MyWebApplication.sln " && exit %%ERRORLEVEL%% from D:\Jenkins\workspace\MyWebApplicationJob

[MyWebApplicationJob] $ cmd.exe /C " "C:\Program Files (x86)\Microsoft Visual Studio\2019\Enterprise\MSBuild\Current\Bin\amd64\msbuild.exe" .\MyWebApplication\MyWebApplication.sln " && exit %%ERRORLEVEL%%

Microsoft (R) Build Engine for .NET Framework 16.10.2+857e5a733 版

在此解決方案中一次建置一個專案。若要啟用平行建置，請新增 "-m" 參數。

已經開始建置於 2021/8/10 下午 9:07:12。

節點 1 (預設目標) 上的專案 "D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication.sln"。

ValidateSolutionConfiguration:

建置方案組態 "Debug|Any CPU"。

專案 "D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication.sln" (1) 正在節點 1 (預設目標) 上建置 "D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication\MyWebApplication.csproj" (2)。

D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication\MyWebApplication.csproj(1163,5): error : 此專案參考這部電腦上所缺少的 NuGet 套件。請啟用 NuGet 套件還原，以下載該套件。如需詳細資訊，請參閱 http://go.microsoft.com/fwlink/?LinkID=322105。缺少的檔案是 ..\packages\Microsoft.CodeDom.Providers.DotNetCompilerPlatform.2.0.1\build\net46\Microsoft.CodeDom.Providers.DotNetCompilerPlatform.props。

_CleanRecordFileWrites:

正在建立目錄 "obj\Debug\"。

專案 "D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication\MyWebApplication.csproj" (預設目標) 建置完成 -- 失敗。

專案 "D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication.sln" (預設目標) 建置完成 -- 失敗。

建置失敗。

"D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication.sln" (預設目標) (1) ->

"D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\MyWebApplication\MyWebApplication.csproj" (預設目標) (2) ->

(EnsureNuGetPackageBuildImports 目標) ->

0 個警告

1 個錯誤

經過時間 00:00:00.84

Build step 'Build a Visual Studio project or solution using MSBuild' marked build as failure

Sending e-mails to: (略)@(略).(略).tw

No emails were triggered.

Finished: FAILURE

********************************************************************************

解決：

對套件還原錯誤進行疑難排解
http://go.microsoft.com/fwlink/?LinkID=322105
https://docs.microsoft.com/zh-tw/nuget/Consume-Packages/Package-restore-troubleshooting

先不管上面參考資訊，直接看 MyWebApplication 方案的 packages.config 中，並沒有 Microsoft.CodeDom.Providers.DotNetCompilerPlatform，而且 NuGet 提供到 3.6.0 版

NuGet Gallery | Microsoft.CodeDom.Providers.DotNetCompilerPlatform 3.6.0
https://www.nuget.org/packages/Microsoft.CodeDom.Providers.DotNetCompilerPlatform/

就安裝 3.6.0 吧，再簽入一次，結果還是說缺 Microsoft.CodeDom.Providers.DotNetCompilerPlatform 2.0.1 版，拿 Visual Studio 2019 隨便新建一個 WebFrom WebApplication 方案，把 packages 目錄下的 Microsoft.CodeDom.Providers.DotNetCompilerPlatform.2.0.1 整個複製到 Gitea + Jenkins + Fortify SCA Server 上 D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages 目錄，手動執行 Jenkins 的「馬上建置」，結果說缺另一個套件。

其他幾個方案都沒有在喊缺套件，順利建置，這個特別搗蛋。

比對了一下，Jenkins 自動抓下的只有二十幾個套件，但未簽入的有六十幾個，乾脆把 MyWebApplication 方案的整個 packages 目錄內容，拷貝到 Server 上 D:\Jenkins\workspace\MyWebApplicationJob\MyWebApplication\packages 目錄中，手動執行 Jenkins 的「馬上建置」，這次順利跑完。

此文做個紀錄，解決方法僅供參考，不保證是最正確、最好的解決方法。

(完)

相關

[研究]Jenkins作業(Job)組態的Dependency-Track(DT)設定
https://shaurong.blogspot.com/2022/09/jenkinsjobdependency-trackdt.html

[研究]Git上傳、Jenkins自動編譯、發佈 ASP.NET WebForms方案/專案到目的網站根目錄
https://shaurong.blogspot.com/2022/09/gitjenkins-aspnet-webforms.html

[研究][ASP.NET]MSBuild 17.3.1 語法參數說明
https://shaurong.blogspot.com/2022/09/aspnetmsbuild-1731.html

[研究][BAT]從Jenkins拷貝 Fortify SCA 報告
https://shaurong.blogspot.com/2022/03/batjenkins-fortify-sca.html

[研究]Jenkins 找不到 .NET SDK 'Microsoft.NET.Sdk.Web'
https://shaurong.blogspot.com/2022/02/jenkins-net-sdk-microsoftnetsdkweb.html

[研究]Jenkins : error MSB4100 條件必須評估為布林值
https://shaurong.blogspot.com/2022/02/jenkins-error-msb4100.html

[研究]Jenkins + Fortify SCA，因 Visual Studio 2019 升級 2022，變更 MSBuild 目錄
https://shaurong.blogspot.com/2022/01/jenkins-fortify-sca-visual-studio-2019.html

[研究]疑似 Fortify SCA 或 Jenkins 產生的殘檔
https://shaurong.blogspot.com/2021/11/fortify-sca-jenkins.html

[研究][Gitea + Jenkins + Fortify SCA]此專案參考這部電腦上所缺少的 NuGet 套件。請啟用 NuGet 套件還原
https://shaurong.blogspot.com/2021/08/gitea-jenkins-fortify-sca-nuget-nuget.html

[研究] OWASP Dependency-Track 4.2.2 第三方元件安全管理安裝 (Ubuntu 20.04.2 LTS x64)
https://shaurong.blogspot.com/2021/07/owasp-dependency-track-422-ubuntu-20042.html

[研究]Jenkins 2.289.2-1.1 stable 安裝(CentOS 8.4 x64)
https://shaurong.blogspot.com/2021/07/jenkins-22892-11-stable-centos-84-x64.html

[研究] Jenkins 建置失敗
https://shaurong.blogspot.com/2021/04/jenkins.html

[研究] Jenkins 2.190.3 舊主機搬移到新主機(Win2019)
https://shaurong.blogspot.com/2019/12/jenkins-21903-win2019.html

[研究] Jenkins 2.121.1 LTS + JDK 8 + Maven 3.5.3 安裝 (Windows 2016)
https://shaurong.blogspot.com/2018/06/jenkins-21211-lts-jdk-maven-windows-2016.html

[研究] Jenkins 2.121.1 LTS + JDK 安裝 (Windows 2016)
https://shaurong.blogspot.com/2018/06/jenkins-21211-lts-jdk-windows-2016.html

[研究] Jenkins 2.128 Weekly 安裝 (Windows 2016)
https://shaurong.blogspot.com/2018/06/jekins-2128-weekly-windows-2016.html

[研究] Jenkins 2.121.1 LTS 安裝 (Windows 2016)
https://shaurong.blogspot.com/2018/06/jekins-21211-lts-windows-2016.html

[研究] Jenkins 2.68.1-1 安裝 (CentOS 7.3 x64)
https://shaurong.blogspot.com/2017/07/jenkins-2681-1-centos-73-x64.html

[研究] Jenkins 1.635 安裝 (CentOS 7.1 x64)
https://shaurong.blogspot.com/2015/10/jenkins-1635-centos-71-x64.html

[研究] Jenkins 1.635 安裝 (Windows 2012 R2)
https://shaurong.blogspot.com/2015/10/jenkins-1635-windows-2012-r2.html

2021年7月9日星期五

[研究]Fortify SCA 對「WebForm」「個別使用者帳戶」官方範例掃描結果

[研究]Fortify SCA 對「ASP.NET Web 應用程式 (.NET Framework)」的「WebForm」「個別使用者帳戶」微軟官方專案範本官方範例掃描結果

2021-07-09

2021-08-15更新

Click圖片可看100%原尺寸

********************************************************************************

Cross-Site Scripting: DOM

檔案為 \Scripts\WebForms\SmartNav.js

   item.data = eval(menu.id + "_Data");

根據這篇

[研究] Microsoft.AspNet.ScriptManager.MSAjax 與 Microsoft.AspNet.ScriptManager.WebForms 安裝

http://shaurong.blogspot.com/2020/08/microsoftaspnetscriptmanagermsajax.html

Microsoft.AspNet.ScriptManager.WebForms 套件會安裝

\Scripts\WebForms\Menu.js

\Scripts\WebForms\SmartNav.js

********************************************************************************

Insecure Transport: Database

這是 Web.Config 中資料庫連線字串設定

<add name="DefaultConnection" 
    connectionString="Data Source=(LocalDb)\MSSQLLocalDB;
    AttachDbFilename=|DataDirectory|\aspnet-WebApplication1-20210709074550.mdf;
    Initial Catalog=aspnet-WebApplication1-20210709074550;Integrated Security=True"

      providerName="System.Data.SqlClient" />

詳見這篇

[研究][ASP.NET] Fortify SCA 報告 Web.Config 資料庫連線字串設定有 Insecure Transport: Database 問題

http://shaurong.blogspot.com/2018/12/fortify-sca-webconfig.html

保護連接字串與其他設定資訊 (C#)

https://docs.microsoft.com/zh-tw/aspnet/web-forms/overview/data-access/advanced-data-access-scenarios/protecting-connection-strings-and-other-configuration-information-cs

使用「 ASP.NET IIS 註冊工具 (aspnet_regiis.exe) 」對 Web.Config 中 <connectionStrings> 中資訊加密。

********************************************************************************

Open Redirect

這是 /Account/AddPhooneNumber.aspx.cs 的內容

  Response.Redirect("/Account/VerifyPhoneNumber?PhoneNumber=" + HttpUtility.UrlEncode(PhoneNumber.Text));

********************************************************************************

Open Redirect

參考這篇，可改用 Server.Transfer 代替 response.Redirect

[研究][ASP.NET]Fortify SCA 報告Open Redirect

https://shaurong.blogspot.com/2021/07/aspnetfortify-sca-open-redirect.html

********************************************************************************

Open Redirect

這是 \Account\Login.aspx 的內容

 Response.Redirect(String.Format("/Account/TwoFactorAuthenticationSignIn?ReturnUrl={0}&RememberMe={1}", 
                                 Request.QueryString["ReturnUrl"],
                                 RememberMe.Checked),
                   true);

********************************************************************************

Cross-Site Scripting: DOM

根據這篇

[研究] Microsoft.AspNet.ScriptManager.MSAjax 與 Microsoft.AspNet.ScriptManager.WebForms 安裝

http://shaurong.blogspot.com/2020/08/microsoftaspnetscriptmanagermsajax.html

Microsoft.AspNet.ScriptManager.WebForms 套件會安裝

\Scripts\WebForms\Menu.js

\Scripts\WebForms\SmartNav.js

檔案為 /Scripts/WebForms/MSAjax/SmartNav.js

http://ajax.aspnetcdn.com/ajax/4.5.1/1/SmartNav.js

document.location.href=fdurl;

********************************************************************************

Fortify SCA ( Fortify Static Code Analyzer ) 是白箱測試工具 ( 源碼檢測、原始碼安全檢測、原始碼檢測)，白箱測試無法保證 100% 正確，有可能誤判。

修改3rd Party套件要考慮一個問題，套件更新後又會被覆蓋回去。Menu.js 和 MSmartNav.js 都是Microsoft.AspNet.ScriptManager.WebForms 套件的，真有安全問題，微軟 Microsoft 應該早已經處理。

********************************************************************************

2021-08-15

為了避免 Fortify SCA 報 Menu.js 和 SmartNav.js，把 Microsoft.AspNet.ScriptManager.WebForms 套件移除會怎樣 ?

執行會出錯

'/' 應用程式中發生伺服器錯誤。

'WebFormsBundle' 不是有效的指令碼名稱。名稱必須以 '.js' 結尾。

把 Site.Master 中這行註解掉

<asp:ScriptReference Name="WebFormsBundle" />

改為

<%--<asp:ScriptReference Name="WebFormsBundle" />--%>

執行似乎也正常。

(完)

2020年5月29日星期五

[研究] Fortify SCA 20.1.0 是否支援 ASP.NET Code 3.1 React and Redux 測試

[研究] Micro Focus Fortify SCA 20.1.0 是否支援 ASP.NET Code 3.1 React and Redux 測試

2020-05-28

Micro Focus Fortify Static Code Analyzer 20.1.0 原始碼安全掃描工具於 2020-05-22 釋出。

官方網頁上說支援到 .NET Code 3.1。

https://www.microfocus.com/documentation/fortify-static-code-analyzer-and-tools/2010/Fortify_Whats_New_20.1.0/index.htm#Content%2020.1.0/Fortify%20Static%20Code%20Analyzer.htm%3FTocPath%3DWhat's%2520New%2520in%2520Micro%2520Focus%2520Fortify%2520Software%252020.1.0%7C_____2

本篇測試一下是否支援 ASP.NET Code 3.1 的 React.js 和 Redux 架構的專案。

似乎是支援。

(完)

相關

[研究] Micro Focus Fortify SCA 20.1.0 是否支援 ASP.NET Code 3.1 React and Redux 測試

http://shaurong.blogspot.com/2020/05/fortify-sca-2010-aspnet-code-31-react.html

[研究] Micro Focus Fortify SCA 20.1.0 是否支援 ASP.NET Code 3.1 Razor測試

http://shaurong.blogspot.com/2020/05/micro-focus-sca-2010-aspnet-code-31_28.html

[研究] Micro Focus Fortify SCA 20.1.0 是否支援 ASP.NET Code 3.1 MVC 測試

http://shaurong.blogspot.com/2020/05/micro-focus-sca-2010-aspnet-code-31.html

訂閱：文章 (Atom)

2025年9月4日 星期四

2025年8月29日 星期五

2025年2月5日 星期三

2025年1月16日 星期四

2024年7月16日 星期二

2024年4月3日 星期三

2024年3月11日 星期一

2024年3月8日 星期五

2022年4月13日 星期三

2022年1月29日 星期六

2021年11月9日 星期二

2021年8月11日 星期三

2021年7月9日 星期五

2020年5月29日 星期五

2025年9月4日星期四

2025年8月29日星期五

2025年2月5日星期三

2025年1月16日星期四

2024年7月16日星期二

2024年4月3日星期三

2024年3月11日星期一

2024年3月8日星期五

2022年4月13日星期三

2022年1月29日星期六

2021年11月9日星期二

2021年8月11日星期三

2021年7月9日星期五

2020年5月29日星期五