ເຟສບຸກໄດ້ນໍາສະເຫນີ Pysa, ເຄື່ອງວິເຄາະສະຖິດສໍາລັບພາສາ Python

ເຟສບຸກ ແນະ ນຳ ເປີດເຄື່ອງວິເຄາະສະຖິດ ປີຊາ (Python Static Analyzer), ອອກແບບມາເພື່ອກໍານົດຈຸດອ່ອນທີ່ເປັນໄປໄດ້ໃນລະຫັດ Python. ເຄື່ອງວິເຄາະໃໝ່ຖືກອອກແບບເປັນສ່ວນເສີມໃສ່ຊຸດເຄື່ອງມືກວດສອບປະເພດ ພີເຣ ແລະປະກາດໄວ້ໃນຄັງເກັບມ້ຽນຂອງລາວ. ລະຫັດ ຈັດພີມມາ ພາຍໃຕ້ໃບອະນຸຍາດ MIT.

Pysa ສະຫນອງການວິເຄາະການໄຫຼເຂົ້າຂອງຂໍ້ມູນເປັນຜົນມາຈາກການປະຕິບັດລະຫັດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດຈຸດອ່ອນທີ່ອາດມີຫຼາຍຢ່າງແລະບັນຫາຄວາມເປັນສ່ວນຕົວທີ່ກ່ຽວຂ້ອງກັບການນໍາໃຊ້ຂໍ້ມູນໃນສະຖານທີ່ທີ່ມັນບໍ່ຄວນປາກົດ.
ຕົວຢ່າງ, Pysa ສາມາດຕິດຕາມການນໍາໃຊ້ຂໍ້ມູນພາຍນອກດິບໃນການໂທທີ່ເປີດຕົວໂຄງການພາຍນອກ, ໃນການດໍາເນີນງານໄຟລ໌, ແລະໃນໂຄງສ້າງ SQL.

ການເຮັດວຽກຂອງນັກວິເຄາະລົງມາເພື່ອກໍານົດແຫຼ່ງຂໍ້ມູນແລະການໂທຫາອັນຕະລາຍທີ່ຂໍ້ມູນຕົ້ນສະບັບບໍ່ຄວນຖືກນໍາໃຊ້. ຂໍ້ມູນຈາກການຮ້ອງຂໍເວັບ (ຕົວຢ່າງ: ວັດຈະນານຸກົມ HttpRequest.GET ໃນ Django) ຖືກພິຈາລະນາເປັນແຫຼ່ງ, ແລະການໂທເຊັ່ນ eval ແລະ os.open ຖືວ່າເປັນການໃຊ້ອັນຕະລາຍ. Pysa ຕິດຕາມການໄຫຼເຂົ້າຂອງຂໍ້ມູນຜ່ານລະບົບຕ່ອງໂສ້ການເອີ້ນຟັງຊັນແລະເຊື່ອມໂຍງຂໍ້ມູນແຫຼ່ງກັບສະຖານທີ່ອັນຕະລາຍໃນລະຫັດ. ຊ່ອງໂຫວ່ປົກກະຕິທີ່ຖືກກໍານົດໂດຍໃຊ້ Pysa ແມ່ນບັນຫາການປ່ຽນເສັ້ນທາງເປີດ (CVE-2019-19775) ໃນແພລະຕະຟອມສົ່ງຂໍ້ຄວາມ Zulip, ເກີດຈາກການຖ່າຍທອດຕົວກໍານົດການພາຍນອກທີ່ບໍ່ສະອາດເມື່ອສະແດງຮູບຫຍໍ້.

ຄວາມສາມາດໃນການຕິດຕາມການໄຫຼເຂົ້າຂອງຂໍ້ມູນຂອງ Pysa ສາມາດ ນໍາໃຊ້ ເພື່ອກວດສອບການນໍາໃຊ້ທີ່ຖືກຕ້ອງຂອງກອບເພີ່ມເຕີມແລະກໍານົດການປະຕິບັດຕາມນະໂຍບາຍການນໍາໃຊ້ຂໍ້ມູນຜູ້ໃຊ້. ຕົວຢ່າງ, Pysa ໂດຍບໍ່ມີການຕັ້ງຄ່າເພີ່ມເຕີມສາມາດຖືກນໍາໃຊ້ເພື່ອກວດສອບໂຄງການໂດຍໃຊ້ Django ແລະ Tornado frameworks. Pysa ຍັງສາມາດກວດພົບຊ່ອງໂຫວ່ທົ່ວໄປໃນແອັບພລິເຄຊັນເວັບ ເຊັ່ນ: SQL injection ແລະ cross-site scripting (XSS).

ໃນເຟສບຸກ, ເຄື່ອງວິເຄາະຖືກນໍາໃຊ້ເພື່ອກວດເບິ່ງລະຫັດຂອງບໍລິການ Instagram. ໃນໄຕມາດທໍາອິດຂອງປີ 2020, Pysa ຊ່ວຍກໍານົດ 44% ຂອງບັນຫາທັງຫມົດທີ່ວິສະວະກອນ Facebook ພົບເຫັນຢູ່ໃນ codebase ຂ້າງເຊີຟເວີຂອງ Instagram.
ໃນຈໍານວນທັງຫມົດ, ຂະບວນການທົບທວນການປ່ຽນແປງອັດຕະໂນມັດຂອງ Pysa ໄດ້ກໍານົດ 330 ບັນຫາ, ໃນນັ້ນ 49 (15%) ໄດ້ຖືກຈັດອັນດັບທີ່ສໍາຄັນແລະ 131 (40%) ແມ່ນບໍ່ຮຸນແຮງ. ໃນ 150 ກໍລະນີ (45%), ບັນຫາໄດ້ຖືກຈັດປະເພດເປັນຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru