फेसबुक ओपन सोर्स्ड मारियाना ट्रेंच स्टॅटिक अॅनालायझर

Facebook ने एक नवीन ओपन सोर्स स्टॅटिक विश्लेषक, मारियाना ट्रेंच सादर केला आहे, ज्याचा उद्देश Android ऍप्लिकेशन्स आणि जावा प्रोग्राम्समधील भेद्यता ओळखणे आहे. स्त्रोत कोडशिवाय प्रकल्पांचे विश्लेषण करणे शक्य आहे, ज्यासाठी फक्त Dalvik आभासी मशीनसाठी बायकोड उपलब्ध आहे. आणखी एक फायदा म्हणजे त्याचा अतिशय उच्च अंमलबजावणीचा वेग (कोडच्या अनेक दशलक्ष ओळींचे विश्लेषण सुमारे 10 सेकंद घेते), जे तुम्हाला सर्व प्रस्तावित बदल येताच ते तपासण्यासाठी मारियाना ट्रेंच वापरण्याची परवानगी देते. प्रकल्प कोड C++ मध्ये लिहिलेला आहे आणि MIT परवान्याअंतर्गत वितरित केला जातो.

फेसबुक, इंस्टाग्राम आणि व्हॉट्सअॅपसाठी मोबाइल अॅप्लिकेशन्सच्या स्त्रोत मजकूरांचे पुनरावलोकन करण्याच्या प्रक्रियेला स्वयंचलित करण्यासाठी एका प्रकल्पाचा भाग म्हणून विश्लेषक विकसित केले गेले. 2021 च्या पहिल्या सहामाहीत, Facebook मोबाइल ऍप्लिकेशन्समधील सर्व भेद्यतांपैकी निम्म्या असुरक्षा स्वयंचलित विश्लेषण साधनांचा वापर करून ओळखल्या गेल्या. मारियाना ट्रेंच कोड हा फेसबुकच्या इतर प्रकल्पांशी जवळून जोडलेला आहे; उदाहरणार्थ, रेडेक्स बाइटकोड ऑप्टिमायझरचा वापर बायटेकोड पार्स करण्यासाठी केला गेला आणि SPARTA लायब्ररीचा उपयोग स्थिर विश्लेषणाच्या परिणामांचा दृष्यदृष्ट्या अर्थ लावण्यासाठी आणि अभ्यास करण्यासाठी केला गेला.

संभाव्य भेद्यता आणि गोपनीयतेच्या समस्या ॲप्लिकेशनच्या अंमलबजावणीदरम्यान डेटा प्रवाहाचे विश्लेषण करून अशा परिस्थितीत ओळखल्या जातात जेथे कच्च्या बाह्य डेटावर SQL क्वेरी, फाइल ऑपरेशन्स आणि बाह्य प्रोग्राम ट्रिगर करणार्‍या कॉल्स सारख्या धोकादायक रचनांमध्ये प्रक्रिया केली जाते.

विश्लेषकाचे कार्य डेटाचे स्त्रोत आणि धोकादायक कॉल्स ओळखण्यावर येते ज्यामध्ये स्त्रोत डेटा वापरला जाऊ नये - विश्लेषक फंक्शन कॉलच्या साखळीद्वारे डेटाच्या पासचा मागोवा घेतो आणि कोडमधील संभाव्य धोकादायक ठिकाणांसह स्त्रोत डेटा कनेक्ट करतो. . उदाहरणार्थ, Intent.getData वर कॉलद्वारे प्राप्त झालेल्या डेटाला स्त्रोत ट्रॅकिंग आवश्यक मानले जाते आणि Log.w आणि Runtime.exec वरील कॉल धोकादायक वापर मानले जातात.

स्त्रोत: opennet.ru