പൈത്തൺ ഭാഷയുടെ സ്റ്റാറ്റിക് അനലൈസറായ പൈസയെ ഫേസ്ബുക്ക് അവതരിപ്പിച്ചു

ഫേസ്ബുക്ക് അവതരിപ്പിച്ചു ഓപ്പൺ സ്റ്റാറ്റിക് അനലൈസർ പിസ (പൈത്തൺ സ്റ്റാറ്റിക് അനലൈസർ), പൈത്തൺ കോഡിലെ അപകടസാധ്യതകൾ തിരിച്ചറിയാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു. ടൈപ്പ് ചെക്കിംഗ് ടൂൾകിറ്റിൻ്റെ ആഡ്-ഓൺ എന്ന നിലയിലാണ് പുതിയ അനലൈസർ രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത് പൈർ അവൻ്റെ ശേഖരത്തിൽ പോസ്റ്റ് ചെയ്യുകയും ചെയ്തു. കോഡ് പ്രസിദ്ധീകരിച്ചു MIT ലൈസൻസിന് കീഴിൽ.

കോഡ് നിർവ്വഹണത്തിൻ്റെ ഫലമായി ഡാറ്റാ ഫ്ലോകളുടെ വിശകലനം Pysa നൽകുന്നു, ഇത് ദൃശ്യമാകാൻ പാടില്ലാത്ത സ്ഥലങ്ങളിൽ ഡാറ്റ ഉപയോഗിക്കുന്നതുമായി ബന്ധപ്പെട്ട നിരവധി അപകടസാധ്യതകളും സ്വകാര്യത പ്രശ്നങ്ങളും തിരിച്ചറിയാൻ നിങ്ങളെ അനുവദിക്കുന്നു.
ഉദാഹരണത്തിന്, ബാഹ്യ പ്രോഗ്രാമുകൾ സമാരംഭിക്കുന്ന കോളുകളിലും ഫയൽ പ്രവർത്തനങ്ങളിലും SQL കൺസ്ട്രക്റ്റുകളിലും റോ എക്സ്റ്റേണൽ ഡാറ്റയുടെ ഉപയോഗം Pysa ട്രാക്ക് ചെയ്യാൻ കഴിയും.

ഡാറ്റയുടെ ഉറവിടങ്ങളും യഥാർത്ഥ ഡാറ്റ ഉപയോഗിക്കാൻ പാടില്ലാത്ത അപകടകരമായ കോളുകളും തിരിച്ചറിയുന്നതിലേക്കാണ് അനലൈസറിൻ്റെ പ്രവർത്തനം. വെബ് അഭ്യർത്ഥനകളിൽ നിന്നുള്ള ഡാറ്റ (ഉദാഹരണത്തിന്, ജാംഗോയിലെ HttpRequest.GET നിഘണ്ടു) ഒരു ഉറവിടമായി കണക്കാക്കപ്പെടുന്നു, കൂടാതെ eval, os.open പോലുള്ള കോളുകൾ അപകടകരമായ ഉപയോഗങ്ങളായി കണക്കാക്കുന്നു. Pysa ഫംഗ്‌ഷൻ കോളുകളുടെ ശൃംഖലയിലൂടെ ഡാറ്റയുടെ ഒഴുക്ക് ട്രാക്കുചെയ്യുകയും കോഡിലെ അപകടകരമായ സ്ഥലങ്ങളുമായി ഉറവിട ഡാറ്റയെ ബന്ധപ്പെടുത്തുകയും ചെയ്യുന്നു. Pysa ഉപയോഗിച്ച് തിരിച്ചറിഞ്ഞ ഒരു സാധാരണ അപകടസാധ്യത ഒരു തുറന്ന തിരിച്ചുവിടൽ പ്രശ്നമാണ് (CVE-2019-19775) സുലിപ് സന്ദേശമയയ്‌ക്കൽ പ്ലാറ്റ്‌ഫോമിൽ, ലഘുചിത്രങ്ങൾ റെൻഡർ ചെയ്യുമ്പോൾ വൃത്തിയാക്കാത്ത ബാഹ്യ പാരാമീറ്ററുകൾ കടന്നുപോകുന്നത് മൂലമാണ്.

പൈസയുടെ ഡാറ്റാ ഫ്ലോ ട്രാക്കിംഗ് കഴിവുകൾക്ക് കഴിയും പ്രയോഗിക്കുക അധിക ചട്ടക്കൂടുകളുടെ ശരിയായ ഉപയോഗം പരിശോധിച്ചുറപ്പിക്കുന്നതിനും ഉപയോക്തൃ ഡാറ്റ ഉപയോഗ നയം പാലിക്കുന്നുണ്ടോ എന്ന് നിർണ്ണയിക്കുന്നതിനും. ഉദാഹരണത്തിന്, കൂടുതൽ സജ്ജീകരണങ്ങളില്ലാത്ത Pysa, Django, Tornado ചട്ടക്കൂടുകൾ ഉപയോഗിച്ച് പ്രോജക്റ്റുകൾ പരിശോധിക്കാൻ ഉപയോഗിക്കാം. SQL ഇൻജക്ഷൻ, ക്രോസ്-സൈറ്റ് സ്‌ക്രിപ്റ്റിംഗ് (XSS) പോലെയുള്ള വെബ് ആപ്ലിക്കേഷനുകളിലെ പൊതുവായ കേടുപാടുകൾ കണ്ടെത്താനും Pysa-യ്ക്ക് കഴിയും.

ഫേസ്ബുക്കിൽ, ഇൻസ്റ്റാഗ്രാം സേവനത്തിൻ്റെ കോഡ് പരിശോധിക്കാൻ അനലൈസർ ഉപയോഗിക്കുന്നു. 2020-ൻ്റെ ആദ്യ പാദത്തിൽ, ഇൻസ്റ്റാഗ്രാമിൻ്റെ സെർവർ-സൈഡ് കോഡ്‌ബേസിൽ ഫേസ്ബുക്ക് എഞ്ചിനീയർമാർ കണ്ടെത്തിയ പ്രശ്‌നങ്ങളിൽ 44% തിരിച്ചറിയാൻ Pysa സഹായിച്ചു.
മൊത്തത്തിൽ, Pysa-യുടെ സ്വയമേവയുള്ള മാറ്റ അവലോകന പ്രക്രിയ 330 പ്രശ്നങ്ങൾ തിരിച്ചറിഞ്ഞു, അതിൽ 49 (15%) പ്രധാനവും 131 (40%) ഗുരുതരമല്ലാത്തതുമായി റേറ്റുചെയ്‌തു. 150 കേസുകളിൽ (45%) പ്രശ്നങ്ങൾ തെറ്റായ പോസിറ്റീവ് ആയി തരംതിരിച്ചിട്ടുണ്ട്.

അവലംബം: opennet.ru