Pysa, tus tsom ntsuas hluav taws xob zoo li qub rau Nab hab sej muaj los ntawm Facebook

Facebook tau qhia qhov qhib qhov ntsuas siv hluav taws xob zoo li qub hu ua "Pysa»(Python Static Analyzer) uas yog tsim los txheeb xyuas cov kev pheej hmoo muaj peev xwm nyob rau hauv sej code.

pysa muab cov ntaub ntawv ntsuas tsom raws li cov txiaj ntsig ntawm kev cai tiav, uas tso cai rau koj txheeb xyuas ntau yam kev muaj peev xwm thiab teeb meem kev ceev ntiag tug ntsig txog kev siv cov ntaub ntawv hauv qhov chaw uas nws yuav tsum tsis txhob tshwm sim.

Piv txwv li, Pysa tuaj yeem taug qab kev siv cov ntaub ntawv raw sab nraud hauv kev hu uas ua cov haujlwm sab nraud, hauv cov haujlwm ua haujlwm thiab hauv SQL tsim.

Niaj hnub no, peb qhia cov ntsiab lus hais txog Pysa, qhib qhov cuab yeej tsom xam zoo li qub uas peb tau ua los kuaj thiab tiv thaiv kev nyab xeeb thiab cov teeb meem ntiag tug hauv Python code. Tsaib no, peb qhia tawm li cas peb tsim Zoncolan, ib qho kev ntsuam xyuas zoo li qub uas pab peb txheeb xyuas ntau tshaj 100 lab kab ntawm hack code thiab tau pab cov kws tshaj lij tiv thaiv ntau txhiab qhov teeb meem kev ruaj ntseg. Qhov kev vam meej ntawd tau tshoov peb lub siab los tsim Pysa, uas yog cov ntawv luv rau Python Static Analyzer.

Pysa siv tib qho kev teeb tsa ua qhov tsom xam zoo li qub thiab txawm hais qhia code nrog ZoncolanCov. Zoo li Zoncolan, Pysa taug qab cov ntaub ntawv ntws los ntawm ib qho program.

Tus neeg siv txhais cov peev txheej (qhov chaw uas cov ntaub ntawv tseem ceeb tsim tawm) nrog rau dab dej (cov chaw uas cov ntaub ntawv yuav tsum tsis txhob xaus).

Rau cov ntawv thov kev ruaj ntseg, hom chaw sib luag feem ntau yog qhov chaw uas cov neeg siv tswj cov ntaub ntawv nkag rau hauv daim ntawv thov, xws li phau ntawv txhais lus Django.

Cov neeg tau txais ntau yam sib txawv, tab sis tuaj yeem suav nrog APIs uas tau khiav cov lej, xws li eval, lossis API uas nkag mus rau cov khoos phis tawm, xws lios.open

Pysa ua cov iterative puag ncig ntawm kev tsom xam los ua cov ntawv paub daws teeb los txiav txim siab qhov kev ua haujlwm twg rov qab cov ntaub ntawv los ntawm qhov chaw thiab qhov twg ua haujlwm muaj qhov tsis sib xws uas thaum kawg tsoo lub dab dej. Yog Pysa pom tias ib qho chaw thaum kawg txuas rau lub dab dej, nws qhia txog qhov teeb meem. 

Soj ntsuam ua haujlwm nws txhawm rau txhawm rau txhawm rau txheeb xyuas qhov khoom xa tawm cov ntaub ntawv thiab cov kev hu xov xwm phom sij, hauv cov ntaub ntawv qub yuav tsum tsis txhob siv.

Pysa tsom kwm cov lus hla los ntawm cov xov ntawm lub luag haujlwm hu ua thiab koom nrog cov ntaub ntawv qub nrog cov chaw phom sij nyob hauv txoj cai.

Vim tias peb siv qhov qhib qhib Python server xwm txheej zoo li Django thiab Tornado rau peb tus kheej cov khoom, Pysa yuav pib ntsib teeb meem kev nyab xeeb hauv cov phiaj xwm uas siv cov qauv no los ntawm thawj zaug khiav. Siv Pysa rau thav ntawv peb tsis muaj kev pab them rau tsis tau yog feem ntau yooj yim xws li ntxiv ob peb txoj kab teeb tsa qhia Pysa qhov twg cov ntaub ntawv nkag los rau hauv lub server.

Ib qho kev txaus ntshai raug txheeb xyuas los ntawm Pysa yog qhov qhib kev hloov pauv teeb meem (CVE-2019-19775) hauv Zulip messaging platform, tshwm sim los ntawm kev dhau qhov tsis huv sab nraud thaum tso tawm cov duab liab.

Pysa cov ntaub ntawv ntws taug kev muaj peev xwm siv tau los siv qhov kev siv ntas ntxiv thiab txiav txim siab ua raws li cov cai siv cov cai siv.

Piv txwv, Pysa tsis muaj qhov teeb tsa ntxiv tuaj yeem siv los xyuas qhov project uas siv cov qauv coj Django thiab khaub zeeg cua. Pysa tseem tuaj yeem txheeb xyuas qhov muaj teeb meem sib xws hauv cov ntawv thov web, xws li SQL hloov chaw thiab cov ntawv sau hla (XSS).

Hauv Facebook, tus kws tshuaj ntsuam xyuas raug siv los txheeb xyuas cov cai ntawm cov kev pabcuam InstagramCov. Nyob rau thawj peb lub hlis xyoo 2020, Pysa pab txheeb xyuas 44% ntawm tag nrho cov teeb meem pom los ntawm Facebook engineers hauv Instagram lub server-sab code puag.

Tag nrho ntawm 330 cov teeb meem tau pom nyob rau hauv cov txheej txheem ntawm kev hloov pauv hloov pov thawj uas siv Pysa, 49 (15%) uas tau raug ntsuas raws qhov tseem ceeb thiab 131 (40%) tsis txaus ntshai. Hauv 150 kis (45%) cov teeb meem tau raug vim yog cuav cuav.

Tus tshiab parser yog tsim raws li kev txhawb nqa rau Pyre hom pov thawj cov cuab yeej thiab muab tso rau hauv koj lub chaw cia khoom. Txoj cai raug tso tawm nyob rau hauv MIT daim ntawv tso cai.

Thaum kawg yog tias koj xav paub ntxiv txog nws, koj tuaj yeem tshawb xyuas cov ntsiab lus hauv thawj daim ntawv tshaj tawm. Qhov link yog qhov no.


Cov ntsiab lus ntawm tsab xov xwm ua raws li peb cov ntsiab cai ntawm kev tswj hwm kev ncaj nceesCov. Tshaj tawm ib qho yuam kev nyem no.

Yog thawj tus tuaj tawm tswv yim

Tso koj saib

Koj email chaw nyob yuav tsis tsum luam tawm.

*

*

  1. Lub luag haujlwm rau cov ntaub ntawv: Miguel Ángel Gatón
  2. Lub hom phiaj ntawm cov ntaub ntawv: Tswj SPAM, kev tswj xyuas tawm tswv yim.
  3. Sau raws cai: Koj kev tso cai
  4. Kev sib txuas lus ntawm cov ntaub ntawv: Cov ntaub ntawv yuav tsis raug xa mus rau lwm tus neeg thib peb tsuas yog los ntawm kev txiav txim siab raug cai.
  5. Cov ntaub ntawv khaws cia: Cov Ntaub Ntawv khaws tseg los ntawm Occentus Networks (EU)
  6. Txoj Cai: Txhua lub sijhawm koj tuaj yeem txwv, rov qab thiab tshem tawm koj cov ntaub ntawv.