Facebook kompaniyasi Android ilovalari va Java dasturlaridagi zaifliklarni aniqlashga qaratilgan Mariana Trench nomli yangi ochiq kodli statik analizatorni taqdim etdi. Manba kodlarisiz loyihalarni tahlil qilish mumkin, ular uchun faqat Dalvik virtual mashinasi uchun bayt-kod mavjud. Yana bir afzalligi shundaki, uning juda yuqori bajarilish tezligi (bir necha million satr kodlarini tahlil qilish taxminan 10 soniya davom etadi), bu sizga taklif qilingan barcha o'zgarishlarni ular kelishi bilan tekshirish uchun Mariana xandonidan foydalanish imkonini beradi. Loyiha kodi C++ tilida yozilgan va MIT litsenziyasi ostida tarqatiladi.
Analizator Facebook, Instagram va Whatsapp mobil ilovalarining manba matnlarini ko'rib chiqish jarayonini avtomatlashtirish loyihasi doirasida ishlab chiqilgan. 2021 yilning birinchi yarmida Facebook mobil ilovalaridagi zaifliklarning yarmi avtomatlashtirilgan tahlil vositalari yordamida aniqlangan. Mariana Trench kodi boshqa Facebook loyihalari bilan chambarchas bog'langan; masalan, Redex bayt-kod optimallashtiruvchisi bayt kodini tahlil qilish uchun ishlatilgan va SPARTA kutubxonasi statik tahlil natijalarini vizual izohlash va o'rganish uchun ishlatilgan.
Potensial zaifliklar va maxfiylik muammolari SQL so'rovlari, fayl operatsiyalari va tashqi dasturlarni ishga tushiradigan qo'ng'iroqlar kabi xavfli konstruksiyalarda xom tashqi ma'lumotlar qayta ishlanadigan vaziyatlarni aniqlash uchun dasturni bajarish jarayonida ma'lumotlar oqimini tahlil qilish orqali aniqlanadi.
Analizatorning ishi manba ma'lumotlarini ishlatmaslik kerak bo'lgan ma'lumotlar manbalarini va xavfli qo'ng'iroqlarni aniqlashga to'g'ri keladi - analizator funktsiya chaqiruvlari zanjiri orqali ma'lumotlarning o'tishini kuzatib boradi va manba ma'lumotlarini koddagi potentsial xavfli joylar bilan bog'laydi. . Masalan, Intent.getData ga qo'ng'iroq orqali olingan ma'lumotlar manba kuzatuvini talab qiladi va Log.w va Runtime.exec qo'ng'iroqlari xavfli foydalanish hisoblanadi.
Manba: opennet.ru