ફેસબુક ઓપન સોર્સ મારિયાના ટ્રેન્ચ સ્ટેટિક વિશ્લેષક

Facebook એ એન્ડ્રોઇડ પ્લેટફોર્મ અને જાવા પ્રોગ્રામ્સ માટેની એપ્લિકેશન્સમાં નબળાઈઓને ઓળખવાના હેતુથી એક નવું ઓપન સ્ટેટિક વિશ્લેષક, મારિયાના ટ્રેન્ચ રજૂ કર્યું છે. સ્રોત કોડ વિના પ્રોજેક્ટ્સનું વિશ્લેષણ કરવું શક્ય છે, જેના માટે ફક્ત ડાલ્વિક વર્ચ્યુઅલ મશીન માટે બાયટેકોડ ઉપલબ્ધ છે. બીજો ફાયદો એ તેની ખૂબ જ ઊંચી એક્ઝેક્યુશન સ્પીડ છે (કોડની ઘણી મિલિયન લાઇનનું વિશ્લેષણ લગભગ 10 સેકન્ડ લે છે), જે તમને મારિયાના ટ્રેન્ચનો ઉપયોગ તમામ સૂચિત ફેરફારોને આવતાની સાથે તપાસવા માટે કરવાની મંજૂરી આપે છે. પ્રોજેક્ટ કોડ C++ માં લખાયેલ છે અને MIT લાયસન્સ હેઠળ વિતરિત કરવામાં આવે છે.

વિશ્લેષક ફેસબુક, ઇન્સ્ટાગ્રામ અને Whatsapp માટે મોબાઇલ એપ્લિકેશન્સના સ્ત્રોત ટેક્સ્ટની સમીક્ષા કરવાની પ્રક્રિયાને સ્વચાલિત કરવાના પ્રોજેક્ટના ભાગ રૂપે વિકસાવવામાં આવ્યું હતું. 2021 ના ​​પ્રથમ અર્ધવાર્ષિક ગાળામાં, સ્વચાલિત વિશ્લેષણ સાધનોનો ઉપયોગ કરીને Facebook મોબાઇલ એપ્લિકેશન્સમાં તમામ નબળાઈઓમાંથી અડધાને ઓળખવામાં આવી હતી. મારિયાના ટ્રેન્ચ કોડ અન્ય ફેસબુક પ્રોજેક્ટ્સ સાથે ગાઢ રીતે જોડાયેલો છે; ઉદાહરણ તરીકે, બાયટેકોડને પાર્સ કરવા માટે રેડેક્સ બાયટેકોડ ઑપ્ટિમાઇઝરનો ઉપયોગ કરવામાં આવ્યો હતો, અને SPARTA લાઇબ્રેરીનો ઉપયોગ સ્થિર વિશ્લેષણના પરિણામોને દૃષ્ટિની રીતે અર્થઘટન કરવા અને અભ્યાસ કરવા માટે કરવામાં આવ્યો હતો.

સંભવિત નબળાઈઓ અને ગોપનીયતા મુદ્દાઓને એપ્લીકેશન એક્ઝેક્યુશન દરમિયાન ડેટા ફ્લોનું વિશ્લેષણ કરીને એવી પરિસ્થિતિઓને ઓળખવા માટે ઓળખવામાં આવે છે કે જ્યાં એસક્યુએલ ક્વેરીઝ, ફાઇલ ઑપરેશન્સ અને કૉલ્સ કે જે બાહ્ય પ્રોગ્રામ્સને ટ્રિગર કરે છે તે જોખમી રચનાઓમાં કાચા બાહ્ય ડેટાની પ્રક્રિયા કરવામાં આવે છે.

વિશ્લેષકનું કાર્ય ડેટાના સ્ત્રોતો અને ખતરનાક કૉલ્સને ઓળખવા માટે નીચે આવે છે જેમાં સ્રોત ડેટાનો ઉપયોગ ન કરવો જોઈએ - વિશ્લેષક ફંક્શન કૉલ્સની સાંકળ દ્વારા ડેટાના પેસેજને ટ્રૅક કરે છે અને સ્રોત ડેટાને કોડમાં સંભવિત જોખમી સ્થાનો સાથે જોડે છે. . ઉદાહરણ તરીકે, Intent.getData પરના કૉલ દ્વારા પ્રાપ્ત થયેલ ડેટાને સ્રોત ટ્રેકિંગની આવશ્યકતા માનવામાં આવે છે, અને Log.w અને Runtime.exec પરના કૉલને જોખમી ઉપયોગ ગણવામાં આવે છે.

સોર્સ: opennet.ru