Facebook đã giới thiệu một máy phân tích tĩnh nguồn mở mới, Mariana Trench, nhằm xác định các lỗ hổng trong ứng dụng Android và chương trình Java. Có thể phân tích các dự án mà không cần mã nguồn, chỉ có mã byte cho máy ảo Dalvik. Một ưu điểm khác là tốc độ thực thi rất cao (phân tích vài triệu dòng mã mất khoảng 10 giây), cho phép bạn sử dụng Mariana Trench để kiểm tra tất cả các thay đổi được đề xuất khi chúng đến. Mã dự án được viết bằng C++ và được phân phối theo giấy phép MIT.
Máy phân tích được phát triển như một phần của dự án nhằm tự động hóa quá trình xem xét văn bản nguồn của các ứng dụng di động cho Facebook, Instagram và Whatsapp. Trong nửa đầu năm 2021, một nửa số lỗ hổng trong ứng dụng di động của Facebook đã được xác định bằng các công cụ phân tích tự động. Mã Mariana Trench được kết hợp chặt chẽ với các dự án khác của Facebook; ví dụ: trình tối ưu hóa mã byte Redex được sử dụng để phân tích mã byte và thư viện SPARTA được sử dụng để diễn giải và nghiên cứu các kết quả phân tích tĩnh một cách trực quan.
Các lỗ hổng tiềm ẩn và vấn đề về quyền riêng tư được xác định bằng cách phân tích luồng dữ liệu trong quá trình thực thi ứng dụng để xác định các tình huống trong đó dữ liệu thô bên ngoài được xử lý trong các cấu trúc nguy hiểm, chẳng hạn như truy vấn SQL, thao tác tệp và lệnh gọi kích hoạt các chương trình bên ngoài.
Công việc của máy phân tích là xác định các nguồn dữ liệu và các lệnh gọi nguy hiểm trong đó không nên sử dụng dữ liệu nguồn - máy phân tích theo dõi việc truyền dữ liệu qua chuỗi lệnh gọi hàm và kết nối dữ liệu nguồn với các vị trí nguy hiểm tiềm tàng trong mã . Ví dụ: dữ liệu nhận được thông qua lệnh gọi tới Intent.getData được coi là yêu cầu theo dõi nguồn và các lệnh gọi tới Log.w và Runtime.exec được coi là cách sử dụng nguy hiểm.
Nguồn: opennet.ru