经典工具逆向分析（三）：Fortify官方规则逆向

Fortify这款工具，想必咱们开发、测试和安全人员应该无人不知，无人不晓。这款静态扫描工具，也是代码审计的利器，可惜讽刺的是，其自身对官方代码扫描规则的保护却是有漏洞的。

咱们下载下来的静态扫描规则本身是加密过的：

打开可以看出，里面其实是乱码：

　　这个加密规则，如何才能解密呢?

　　经过逆向分析，这个规则在扫描加载的时候是会自己进行解密的。

　　于是，可以针对解密函数进行java字节码注入，将其保存为cpt.bin.gz：

　　替换原来的jar包后，开始进行一次任意扫描任务，发现果真有cpt.bin.gz文件生成。

　　打开以后，发现了被解密的fortify官方规则：

　　大功告成!

作者：陈辉军