Facebook Pysa, як таҳлилгари статикӣ барои забони Python -ро муаррифӣ кард

Facebook муаррифӣ кард анализатори статикии кушода Писа (Python Static Analyzer), ки барои муайян кардани осебпазириҳои эҳтимолӣ дар коди Python пешбинӣ шудааст. Анализатори нав ҳамчун замимаи асбоби санҷиши намуд тарҳрезӣ шудааст Пир ва дар анбори худ ҷойгир кард. Кодекс нашр кардааст таҳти иҷозатномаи MIT.

Pysa таҳлили ҷараёнҳои маълумотро дар натиҷаи иҷрои рамз пешниҳод мекунад, ки ба шумо имкон медиҳад, ки осебпазирии зиёди эҳтимолӣ ва масъалаҳои махфияти марбут ба истифодаи додаҳоро дар ҷойҳое, ки набояд пайдо шаванд, муайян кунед.
Масалан, Pysa метавонад истифодаи маълумоти хоми беруниро дар зангҳое, ки барномаҳои берунаро оғоз мекунанд, дар амалиёти файлӣ ва конструксияҳои SQL пайгирӣ кунад.

Кори анализатор ба муайян кардани манбаъҳои маълумот ва зангҳои хатарнок, ки дар онҳо маълумоти аслӣ набояд истифода шаванд, вобаста аст. Маълумот аз дархостҳои веб (масалан, луғати HttpRequest.GET дар Django) ҳамчун сарчашма ва зангҳо ба монанди eval ва os.open ҳамчун истифодаи хатарнок ҳисобида мешаванд. Pysa ҷараёни маълумотро тавассути занҷири зангҳои функсионалӣ пайгирӣ мекунад ва маълумоти сарчашмаро бо ҷойҳои эҳтимолан хатарноки код алоқаманд мекунад. Як осебпазирии маъмулие, ки бо истифода аз Pysa муайян карда шудааст, мушкилоти кушодаи масирро зикр мекунад (CVE-2019-19775) дар платформаи паёмнависии Zulip, ки дар натиҷаи интиқоли параметрҳои берунии тозанашуда ҳангоми намоиши тасвирҳо ба вуҷуд омадааст.

Қобилиятҳои пайгирии ҷараёни маълумот Pysa метавонад муроҷиат кунед барои тафтиши истифодаи дурусти чаҳорчӯбаҳои иловагӣ ва муайян кардани мувофиқат бо сиёсати истифодаи маълумоти корбар. Масалан, Pysa бе танзимоти иловагӣ метавонад барои тафтиши лоиҳаҳо бо истифода аз чаҳорчӯбаи Django ва Tornado истифода шавад. Pysa инчунин метавонад осебпазириҳои умумиро дар веб-барномаҳо, аз қабили тазриқи SQL ва скрипти байнисоҳавӣ (XSS) ошкор кунад.

Дар Facebook, анализатор барои тафтиши коди хидмати Instagram истифода мешавад. Дар семоҳаи аввали соли 2020, Pysa ба муайян кардани 44% ҳамаи мушкилоте, ки муҳандисони Facebook дар пойгоҳи коди сервери Instagram пайдо кардаанд, кӯмак кард.
Дар маҷмӯъ, раванди баррасии автоматии тағирот аз ҷониби Pysa 330 масъаларо муайян кард, ки аз онҳо 49 (15%) ҳамчун асосӣ ва 131 (40%) ҳамчун ҷиддӣ арзёбӣ шудаанд. Дар 150 ҳолат (45%) мушкилот ҳамчун мусбати бардурӯғ тасниф карда шуданд.

Манбаъ: opennet.ru