Facebook Pysa চালু করেছে, পাইথন ভাষার জন্য একটি স্ট্যাটিক বিশ্লেষক

ফেসবুক পেশ স্ট্যাটিক বিশ্লেষক খুলুন পাইসা (পাইথন স্ট্যাটিক অ্যানালাইজার), পাইথন কোডে সম্ভাব্য দুর্বলতা চিহ্নিত করার জন্য ডিজাইন করা হয়েছে। নতুন বিশ্লেষক টাইপ চেকিং টুলকিটে অ্যাড-অন হিসাবে ডিজাইন করা হয়েছে চিতা এবং তার ভান্ডারে পোস্ট করেছেন। কোড প্রকাশিত এমআইটি লাইসেন্সের অধীনে।

Pysa কোড সম্পাদনের ফলে ডেটা প্রবাহের বিশ্লেষণ প্রদান করে, যা আপনাকে এমন জায়গায় ডেটা ব্যবহার করার সাথে সম্পর্কিত অনেক সম্ভাব্য দুর্বলতা এবং গোপনীয়তার সমস্যা সনাক্ত করতে দেয় যেখানে এটি উপস্থিত হওয়া উচিত নয়।
উদাহরণস্বরূপ, Pysa বহিরাগত প্রোগ্রাম চালু করে, ফাইল অপারেশনে এবং SQL কনস্ট্রাক্টে কলে কাঁচা বাহ্যিক ডেটার ব্যবহার ট্র্যাক করতে পারে।

বিশ্লেষকের কাজটি ডেটার উত্স এবং বিপজ্জনক কলগুলি সনাক্ত করার জন্য নেমে আসে যেখানে মূল ডেটা ব্যবহার করা উচিত নয়। ওয়েব অনুরোধের ডেটা (উদাহরণস্বরূপ, জ্যাঙ্গোতে HttpRequest.GET অভিধান) একটি উত্স হিসাবে বিবেচিত হয় এবং eval এবং os.open-এর মতো কলগুলিকে বিপজ্জনক ব্যবহার হিসাবে বিবেচনা করা হয়৷ Pysa ফাংশন কলের শৃঙ্খলের মাধ্যমে ডেটার প্রবাহ ট্র্যাক করে এবং কোডের সম্ভাব্য বিপজ্জনক স্থানগুলির সাথে উত্স ডেটা সংযুক্ত করে৷ Pysa ব্যবহার করে চিহ্নিত একটি সাধারণ দুর্বলতা হল একটি ওপেন রিডাইরেক্ট সমস্যা (জন্য CVE-2019-19775) জুলিপ মেসেজিং প্ল্যাটফর্মে, থাম্বনেইল রেন্ডার করার সময় অপরিষ্কার বহিরাগত পরামিতি পাস করার কারণে।

Pysa এর ডেটা ফ্লো ট্র্যাকিং ক্ষমতা পারে প্রযোজ্য অতিরিক্ত কাঠামোর সঠিক ব্যবহার যাচাই করতে এবং ব্যবহারকারীর ডেটা ব্যবহার নীতির সাথে সম্মতি নির্ধারণ করতে। উদাহরণস্বরূপ, জ্যাঙ্গো এবং টর্নেডো ফ্রেমওয়ার্ক ব্যবহার করে প্রকল্পগুলি পরীক্ষা করতে অতিরিক্ত সেটিংস ছাড়াই Pysa ব্যবহার করা যেতে পারে। Pysa ওয়েব অ্যাপ্লিকেশনগুলিতে সাধারণ দুর্বলতাগুলিও সনাক্ত করতে পারে, যেমন SQL ইনজেকশন এবং ক্রস-সাইট স্ক্রিপ্টিং (XSS)।

ফেসবুকে, বিশ্লেষক ইনস্টাগ্রাম পরিষেবার কোড পরীক্ষা করতে ব্যবহৃত হয়। 2020 সালের প্রথম ত্রৈমাসিকে, Pysa Facebook ইঞ্জিনিয়ারদের Instagram-এর সার্ভার-সাইড কোডবেসে পাওয়া সমস্ত সমস্যাগুলির 44% সনাক্ত করতে সাহায্য করেছে।
মোট, Pysa এর স্বয়ংক্রিয় পরিবর্তন পর্যালোচনা প্রক্রিয়া 330টি সমস্যা চিহ্নিত করেছে, যার মধ্যে 49টি (15%) প্রধান এবং 131 (40%) অ-গুরুতর হিসাবে রেট করা হয়েছে। 150টি ক্ষেত্রে (45%) সমস্যাগুলিকে মিথ্যা ইতিবাচক হিসাবে শ্রেণীবদ্ধ করা হয়েছিল।

উত্স: opennet.ru