Facebook je predstavil nov odprti statični analizator Mariana Trench, namenjen odkrivanju ranljivosti v aplikacijah za platformo Android in programih Java. Možna je analiza projektov brez izvornih kod, za katere je na voljo le bajtna koda za virtualni stroj Dalvik. Druga prednost je njegova zelo visoka hitrost izvajanja (analiza več milijonov vrstic kode traja približno 10 sekund), kar vam omogoča, da uporabite Marianski jarek za preverjanje vseh predlaganih sprememb, ko prispejo. Koda projekta je napisana v C++ in se distribuira pod licenco MIT.
Analizator je bil razvit v okviru projekta avtomatizacije procesa pregledovanja izvornih besedil mobilnih aplikacij za Facebook, Instagram in Whatsapp. V prvi polovici leta 2021 je bila polovica vseh ranljivosti v mobilnih aplikacijah Facebook ugotovljena z orodji za avtomatizirano analizo. Koda Marianskega jarka je tesno prepletena z drugimi projekti Facebooka; za razčlenitev bajtne kode je bil na primer uporabljen optimizator bajtne kode Redex, za vizualno interpretacijo in proučevanje rezultatov statične analize pa knjižnica SPARTA.
Potencialne ranljivosti in težave z zasebnostjo se odkrijejo z analizo tokov podatkov med izvajanjem aplikacije, da se prepoznajo situacije, ko se neobdelani zunanji podatki obdelujejo v nevarnih konstrukcijah, kot so poizvedbe SQL, datotečne operacije in klici, ki sprožijo zunanje programe.
Delo analizatorja se spušča v prepoznavanje virov podatkov in nevarnih klicev, pri katerih izvorni podatki ne bi smeli biti uporabljeni - analizator sledi prehodu podatkov skozi verigo funkcijskih klicev in povezuje izvorne podatke s potencialno nevarnimi mesti v kodi. . Za podatke, prejete prek klica Intent.getData, se na primer šteje, da zahtevajo sledenje viru, klici Log.w in Runtime.exec pa za nevarne uporabe.
Vir: opennet.ru