ફેસબુકે Pysa રજૂ ​​કર્યું, જે પાયથોન ભાષા માટે સ્ટેટિક વિશ્લેષક છે

ફેસબુક રજૂઆત કરી સ્થિર વિશ્લેષક ખોલો પાયસા (પાયથોન સ્ટેટિક એનાલાઈઝર), પાયથોન કોડમાં સંભવિત નબળાઈઓને ઓળખવા માટે રચાયેલ છે. નવા વિશ્લેષકને ટાઇપ ચેકિંગ ટૂલકીટમાં એડ-ઓન તરીકે ડિઝાઇન કરવામાં આવ્યું છે Pyre અને તેના ભંડારમાં પોસ્ટ કર્યું. કોડ પ્રકાશિત MIT લાયસન્સ હેઠળ.

Pysa કોડના અમલીકરણના પરિણામે ડેટાના પ્રવાહનું વિશ્લેષણ પ્રદાન કરે છે, જે તમને તે સ્થાનો પર ડેટાના ઉપયોગ સાથે સંકળાયેલ ઘણી સંભવિત નબળાઈઓ અને ગોપનીયતા સમસ્યાઓને ઓળખવા દે છે જ્યાં તે દેખાવા જોઈએ નહીં.
ઉદાહરણ તરીકે, Pysa કાચા બાહ્ય ડેટાના ઉપયોગને ટ્રૅક કરી શકે છે જે કૉલ્સમાં બાહ્ય પ્રોગ્રામ્સ શરૂ કરે છે, ફાઇલ ઑપરેશનમાં અને SQL કન્સ્ટ્રક્ટ્સમાં.

વિશ્લેષકનું કામ ડેટાના સ્ત્રોતો અને ખતરનાક કૉલ્સને ઓળખવા માટે આવે છે જેમાં મૂળ ડેટાનો ઉપયોગ થવો જોઈએ નહીં. વેબ વિનંતીઓનો ડેટા (ઉદાહરણ તરીકે, Djangoમાં HttpRequest.GET શબ્દકોશ)ને સ્ત્રોત તરીકે ગણવામાં આવે છે, અને eval અને os.open જેવા કૉલ્સને જોખમી ઉપયોગ તરીકે ગણવામાં આવે છે. Pysa ફંક્શન કૉલ્સની સાંકળ દ્વારા ડેટાના પ્રવાહને ટ્રૅક કરે છે અને સ્રોત ડેટાને કોડમાં સંભવિત જોખમી સ્થાનો સાથે સાંકળે છે. Pysa નો ઉપયોગ કરીને ઓળખાતી લાક્ષણિક નબળાઈ એ ખુલ્લી રીડાયરેક્ટ સમસ્યા છે (CVE-2019-19775) ઝુલિપ મેસેજિંગ પ્લેટફોર્મમાં, થંબનેલ્સ રેન્ડર કરતી વખતે અસ્વચ્છ બાહ્ય પરિમાણો પસાર થવાને કારણે થાય છે.

Pysa ની ડેટા ફ્લો ટ્રેકિંગ ક્ષમતાઓ કરી શકે છે અરજી કરો વધારાના ફ્રેમવર્કના સાચા ઉપયોગને ચકાસવા અને વપરાશકર્તા ડેટા વપરાશ નીતિનું પાલન નક્કી કરવા માટે. ઉદાહરણ તરીકે, વધારાના સેટિંગ્સ વિના Pysa નો ઉપયોગ Django અને Tornado ફ્રેમવર્કનો ઉપયોગ કરીને પ્રોજેક્ટ તપાસવા માટે કરી શકાય છે. Pysa વેબ એપ્લિકેશન્સમાં સામાન્ય નબળાઈઓ પણ શોધી શકે છે, જેમ કે SQL ઈન્જેક્શન અને ક્રોસ-સાઈટ સ્ક્રિપ્ટીંગ (XSS).

ફેસબુક પર, વિશ્લેષકનો ઉપયોગ Instagram સેવાના કોડને તપાસવા માટે થાય છે. 2020 ના પ્રથમ ત્રિમાસિક ગાળામાં, Pysa એ Facebook એન્જિનિયરોને Instagram ના સર્વર-સાઇડ કોડબેઝમાં જોવા મળેલી તમામ સમસ્યાઓમાંથી 44% ઓળખવામાં મદદ કરી.
કુલ મળીને, Pysa ની સ્વચાલિત પરિવર્તન સમીક્ષા પ્રક્રિયાએ 330 મુદ્દાઓ ઓળખી કાઢ્યા, જેમાંથી 49 (15%)ને મુખ્ય અને 131 (40%)ને બિન-ગંભીર તરીકે રેટ કરવામાં આવ્યા. 150 કિસ્સાઓમાં (45%) સમસ્યાઓને ખોટા હકારાત્મક તરીકે વર્ગીકૃત કરવામાં આવી હતી.

સોર્સ: opennet.ru