Fortify自定義規則向(xiàng)導中的規則選項：

1) Access Control: Database  Validation Rule

定義驗證對(duì)數據庫中所存儲的信息的訪問權限的函數 （授權函數）。這(zhè)個規則可以發(fā)現與未經(jīng)授權的訪問相關的漏洞Alias Rule

在安全編碼規則包或自定義規則的範圍内定義核心和擴展API 所發(fā)現的能(néng)夠模拟其他函數行爲的函數。

2) Allocation Rule

定義内存分配的函數。這(zhè)個規則有助于跟蹤緩沖區大小并檢測 buffer overflow 漏洞

3) Buffer Overflow Detection Rules for 'scanf' Family of Functions

定義像 scanf() 家族函數一樣運行的函數。這(zhè)些規則有助于跟蹤緩沖區大小并檢測 buffer overflow 漏洞

4) Buffer Overflow Detection Rules for 'sprintf' Family of Functions

定義像 sprintf() 家族函數一樣運行的函數。這(zhè)個函數可以在格式化字符串中并置多個起(qǐ)始緩沖區，并將(jiāng)格式化字符串的多個内存單位複制到目标緩沖區。這(zhè)個規則有助于跟蹤緩沖區大小并檢測 buffer overflow 漏洞

5) Buffer Overflow Detection Rules for 'strcat' Family of Functions

定義像 strcat() 家族函數一樣運行的函數。它在目标緩沖區的末端并置了多個起(qǐ)始緩沖區的内存單位。這(zhè)些規則有助于跟蹤緩沖區大小并檢測 buffer overflow 漏洞

6) Buffer Overflow Detection Rules for 'strcpy' Family of Functions

定義像 strcpy() 家族函數一樣運行的函數。它可以將(jiāng)多個内存單位從起(qǐ)始緩沖區複制到目标緩沖區。這(zhè)些規則有助于

跟蹤緩沖區大小并檢測 buffer overflow 漏洞

7) Cross-Site Scripting Sink Rule

定義在輸入參數沒(méi)有進(jìn)行适當驗證的情況下有可能(néng)在浏覽器中執行惡意代碼的函數

8) Cross-Site Scripting Source Rule

定義充當輸入源的函數，如果這(zhè)樣的函數沒(méi)有經(jīng)過(guò)适當的驗證，會(huì)導緻浏覽器執行惡意代碼。

9) Cross-Site Scripting Validation Rule

定義發(fā)送到網頁前需要進(jìn)行适當的數據驗證的函數

10) Generic Pass-Through Rule

定義一個其輸入參數會(huì)和輸出參數交互數據的函數。

11) Generic Semantic Rule

定義可能(néng)出現的 dangerous function

12) Generic Sink Rule

定義在輸入參數沒(méi)有進(jìn)行适當驗證的情況下有可能(néng)帶來多種(zhǒng)安全漏洞風險的函數

13) Generic Source Rule

定義充當輸入源的函數，如果這(zhè)樣的函數沒(méi)有經(jīng)過(guò)适當的驗證，會(huì)導緻多種(zhǒng)安全漏洞。

14) Generic Validation Rule

定義能(néng)夠針對(duì)多種(zhǒng)安全漏洞而進(jìn)行适當驗證的函數

15) HTTP Response Splitting Sink Rule

定義在輸入參數沒(méi)有進(jìn)行适當驗證的情況下有可能(néng)破壞 HTTP 響應頭文件的函數

16) HTTP Response Splitting Validation Rule

定義加入 HTTP 響應頭文件之前已進(jìn)行适當的數據驗證的函數

17) Integer Overflow Sink Rule

定義易于發(fā)生 integer overflow 漏洞的函數，這(zhè)種(zhǒng)漏洞會(huì)在輸入參數驗證不當的情況下導緻邏輯錯誤和 buffer overflow。

18) Log Forging Sink Rule

定義在輸入參數沒(méi)有進(jìn)行适當驗證的情況下有可能(néng)向(xiàng)日志文件寫入惡意或僞造條目的函數

19) Pass-Through Rule that Indicates that Outgoing Value does not End with a Newline Character

定義未在輸出參數中附加換行符的參數

20) Pass-Through Rule that Indicates that Outgoing Value does not End with a Null Character

定義沒(méi)有适當地以 "\0" 結束輸出緩沖區的函數

21) Pass-Through Rule that Indicates that Outgoing Value Ends with a Newline Character

定義在輸出參數中附加換行符的參數

22) Pass-Through Rule that Indicates that Outgoing Value Ends with a Null Character

定義适當地以 "\0" 結束輸出緩沖區的函數

23) Pass-Through Rule that Indicates  that Outgoing Value is  Deobfuscated

定義充當去模糊化例程的函數

24) Pass-Through Rule that Indicates  that Outgoing Value is not  Numeric

定義處理輸入參數的函數，以使其輸出參數不爲數字。

25) Pass-Through Rule that Indicates that Outgoing Value is Numeric

定義處理輸入參數的函數，以使其輸出參數爲數字。

26) Pass-Through Rule that Indicates  that Outgoing Value is Poorly  Encrypted

定義對(duì)輸入參數所執行的加密方式較差的函數，如基于 64位的編碼。

27) Pass-Through Rule that Indicates  that Outgoing Value Represents  the Length of the String

定義輸出參數可以表示字符串長(cháng)度的函數

28) Password Management Sink Rule

定義采用永遠不會(huì)被破譯或去模糊化的明文密碼作爲參數的函數

29) Password Management: Weak Cryptography Sink Rule

定義采用加密方式較差的密碼作爲參數的函數

30) PCI Violation Sink Rule

定義有可能(néng)將(jiāng)信用卡數據顯示給攻擊者的函數

31) PCI Violation Source Rule

定義將(jiāng)信用卡數據引入應用程序的函數

32) PCI Violation Validation Rule

定義信用卡數據顯示給攻擊者前可以對(duì)這(zhè)些數據進(jìn)行适當驗證的函數

33) Privacy Violation Sink Rule

定義在輸入參數處理不當的情況下由于向(xiàng)攻擊者顯示私人信 息而導緻可能(néng)危及用戶隐私的函數

34) Privacy Violation Source Rule

定義作爲私人數據源的函數，如果處理不當，會(huì)危害用戶隐私。

35) Privacy Violation Validation Rule

定義能(néng)适當處理私人數據且不會(huì)危及用戶隐私的函數。

36) SQL Injection Sink Rule

定義在輸入參數沒(méi)有進(jìn)行适當驗證的情況下有可能(néng)執行惡意SQL 或對(duì)數據庫所存儲的數據提供未經(jīng)授權的訪問權限的函數

37) SQL Injection Source Rule

定義充當輸入源的函數，如果這(zhè)樣的函數沒(méi)有經(jīng)過(guò)适當的驗證，會(huì)導緻 SQL 被注入到數據庫查詢中。

38) SQL Injection Validation Rule

定義在利用數據進(jìn)行 SQL 查詢之前能(néng)夠對(duì)這(zhè)些數據進(jìn)行适當驗證的函數

39) String Length Rule

定義能(néng)夠計算字符串長(cháng)度的函數。這(zhè)個規則有助于跟蹤字符串的長(cháng)度，以便檢測 buffer overflow 漏洞。

40) String Termination Error Sink Rule

定義在輸入參數沒(méi)有适當地以 "\0" 結尾的情況下可能(néng)會(huì)容易導緻 buffer overflow 漏洞

41) String Termination Error Source Rule

定義由于輸入數據源沒(méi)有适當地以 "\0" 結尾而容易導緻buffer overflow 漏洞。

42) String Termination Error Validation Rule

定義适當地以 "\0" 結束緩沖區的函數。

43) System Information Leak Sink Rule

定義在輸入參數處理不當的情況下可能(néng)向(xiàng)攻擊者顯示有用的系統信息的函數

44) System Information Leak Source Rule

定義作爲系統信息數據源的函數，如果處理不當，會(huì)向(xiàng)攻擊者洩漏有用的數據。

45) System Information Leak Validation Rule

定義能(néng)夠适當處理系統數據的函數