फेसबुक खुला स्रोत मारियाना ट्रेन्च स्थिर विश्लेषक

फेसबुकले एन्ड्रोइड प्लेटफर्म र जाभा प्रोग्रामहरूको लागि अनुप्रयोगहरूमा कमजोरीहरू पहिचान गर्ने उद्देश्यले नयाँ खुला स्थिर विश्लेषक, मारियाना ट्रेन्च प्रस्तुत गर्‍यो। स्रोत कोड बिना परियोजनाहरू विश्लेषण गर्न सम्भव छ, जसको लागि Dalvik भर्चुअल मेसिनको लागि मात्र बाइटकोड उपलब्ध छ। अर्को फाइदा यसको धेरै उच्च कार्यान्वयन गति हो (कोडका धेरै मिलियन लाइनहरूको विश्लेषणले लगभग 10 सेकेन्ड लिन्छ), जसले तपाईंलाई मारियाना ट्रेन्च प्रयोग गर्न अनुमति दिन्छ सबै प्रस्तावित परिवर्तनहरू आइपुग्दा जाँच गर्न। परियोजना कोड C++ मा लेखिएको छ र MIT लाइसेन्स अन्तर्गत वितरण गरिएको छ।

विश्लेषक फेसबुक, इन्स्टाग्राम र व्हाट्सएपका लागि मोबाइल अनुप्रयोगहरूको स्रोत पाठहरूको समीक्षा गर्ने प्रक्रियालाई स्वचालित गर्न परियोजनाको एक भागको रूपमा विकसित गरिएको थियो। 2021 को पहिलो आधामा, फेसबुक मोबाइल अनुप्रयोगहरूमा सबै कमजोरीहरूको आधा स्वचालित विश्लेषण उपकरणहरू प्रयोग गरेर पहिचान गरिएको थियो। मारियाना ट्रेन्च कोड अन्य फेसबुक प्रोजेक्टहरूसँग नजिकबाट गाँसिएको छ; उदाहरणका लागि, बाइटकोड पार्स गर्नको लागि रेडेक्स बाइटकोड अप्टिमाइजर प्रयोग गरिएको थियो, र SPARTA पुस्तकालयलाई स्थिर विश्लेषणको नतिजाहरू दृश्यात्मक रूपमा व्याख्या गर्न र अध्ययन गर्न प्रयोग गरिएको थियो।

सम्भावित कमजोरीहरू र गोपनीयता मुद्दाहरू एप्लिकेसन कार्यान्वयनको क्रममा डाटा प्रवाहहरूको विश्लेषण गरेर कच्चा बाह्य डेटा खतरनाक निर्माणहरूमा प्रशोधन गरिन्छ, जस्तै SQL क्वेरीहरू, फाइल अपरेशनहरू, र बाह्य कार्यक्रमहरू ट्रिगर गर्ने कलहरू पहिचान गर्न पहिचान गरिन्छ।

विश्लेषकको काम डाटाका स्रोतहरू र खतरनाक कलहरू पहिचान गर्न तल आउँछ जसमा स्रोत डाटा प्रयोग गर्नु हुँदैन - विश्लेषकले फंक्शन कलहरूको श्रृंखला मार्फत डाटाको मार्ग ट्र्याक गर्दछ र स्रोत डाटालाई कोडमा सम्भावित खतरनाक ठाउँहरूसँग जडान गर्दछ। । उदाहरणका लागि, Intent.getData मा कल मार्फत प्राप्त डेटा स्रोत ट्र्याकिङ आवश्यक मानिन्छ, र Log.w र Runtime.exec मा कलहरू खतरनाक प्रयोगहरू मानिन्छ।

स्रोत: opennet.ru