Pysa, таҳлилгари статикии Python, ки аз ҷониби Facebook пешниҳод шудааст

Facebook таҳлилгари статикии сарчашмаи кушодро бо номи "Pysa" муаррифӣ кард»(Python Static Analyzer) ки аст ки барои муайян кардани осебпазирии эҳтимолӣ дар коди Python таҳия шудааст.

Писа таҳлили ҷараёни маълумотро таъмин мекунад дар натиҷаи иҷрои код, ки ба шумо имкон медиҳад, ки бисёр осебпазирӣ ва мушкилоти эҳтимолиро муайян кунед махфияти марбут ба истифодаи маълумот дар ҷойҳое, ки онҳо бояд пайдо нашаванд.

Масалан, Pysa метавонад истифодаи маълумоти хоми берунаро дар зангҳо пайгирӣ кунад ки барномаҳои беруна, амалиётҳои файлӣ ва сохторҳои SQL иҷро мекунанд.

Имрӯз, мо тафсилотро дар бораи Pysa, воситаи таҳлили статистикии кушодаасос, ки барои ошкор ва пешгирии масъалаҳои амният ва махфият дар коди Python сохтаем, мубодила мекунем. Соли гузашта, мо нақл кардем, ки чӣ гуна Zoncolan-ро таҳия кардем, ки воситаи таҳлили статикӣ мебошад, ки ба мо дар таҳлили зиёда аз 100 миллион хатҳои рамзи хак кумак мекунад ва ба муҳандисон кӯмак мекунад, ки ҳазорон мушкилоти эҳтимолии амниятиро пешгирӣ кунанд. Ин муваффақият моро ба рушди Pysa илҳом бахшид, ки ин мухтасар барои Python Static Analyzer мебошад.

Pysa ҳамон алгоритмҳоро истифода мебарад барои таҳлили статикӣ ва ҳатто мубодилаи код бо Зонколан. Монанди Zoncolan, Pysa ҷараёнҳои маълумотро тавассути барнома пайгирӣ мекунад.

Истифодабаранда манбаъҳоро (ҷойҳое, ки маълумоти муҳим сарчашма мегирад) ва инчунин ғарқшударо (ҷойҳое, ки маълумоти манбаъ набояд тамом шавад) муайян мекунад.

Барои барномаҳои амниятӣ, намудҳои маъмултарини манбаъҳо ҷойҳое мебошанд, ки маълумоти ба корбар воридшаванда ба барнома ворид мешаванд, ба монанди луғати Django.

Қабулкунандагон одатан хеле гуногунанд, аммо метавонанд API-ҳоеро дар бар гиранд, ки рамзро иҷро мекунанд, масалан eval, ё API, ки ба системаи файлӣ дастрасӣ доранд, масаланos.open

Pysa давраҳои такрории таҳлилро барои сохтани рефератҳо анҷом медиҳад барои муайян кардани он, ки кадом функсияҳо маълумотро аз манбаъ бармегардонанд ва кадом функсияҳо параметрҳое доранд, ки дар ниҳоят ғарқшавӣ мезананд. Агар Писа дарёбад, ки манбаъ оқибат ба ғарқшавӣ пайваст мешавад, он дар бораи мушкилот хабар медиҳад. 

Кори анализатор он барои муайян кардани манбаъҳои маълумоти воридшаванда поён меёбад ва зангҳои хатарнок, ки дар он маълумоти аслӣ набояд истифода шаванд.

Pysa гузариши маълумотро тавассути занҷири зангҳои функсия назорат мекунад ва маълумоти аслиро бо ҷойҳои эҳтимолан хатарноки код пайваст мекунад.

Азбаски мо барои маҳсулоти худ чаҳорчӯби сервери Python-и кушод, ба монанди Django ва Tornado-ро истифода мебарем, Pysa метавонад дар лоиҳаҳое, ки ин чаҳорчӯбҳоро истифода мебаранд, оғоз кунад. Истифодаи Pysa барои чаҳорчӯбаҳое, ки мо то ҳол фарогирӣ надорем, одатан ба монанди илова кардани чанд хатти конфигуратсия осон аст, то Pysa гӯем, ки маълумот ба сервер ворид мешавад.

Осебпазирии маъмуле, ки Pysa муайян кардааст, ин як масири кушод (CVE-2019-19775) дар платформаи паёмнависии Zulip мебошад, ки дар натиҷаи гузаштани параметрҳои нопоки беруна ҳангоми намоиши ангуштҳо ба вуҷуд омадааст.

Имкониятҳои пайгирии ҷараёни додаҳои Pysa метавонанд барои тасдиқи истифодаи фреймҳои иловагӣ ва муайян кардани мувофиқат бо сиёсати истифодаи маълумотҳои корбар истифода шаванд.

Масалан, Pysa бе конфигуратсияҳои иловагӣ метавонад барои тафтиши лоиҳаҳо бо истифода аз чаҳорчӯба истифода шавад Джанго ва Торнадо. Pysa инчунин метавонад осебҳои маъмулро дар замимаҳои веб, ба монанди ивазкунии SQL ва скрипти байни сайтҳо (XSS) муайян кунад.

Дар Фейсбук анализатор барои тасдиқи рамзи хидмати Instagram истифода мешавад. Дар семоҳаи аввали соли 2020, Pysa ба муайян кардани 44% ҳамаи мушкилоте, ки муҳандисони Facebook дар пойгоҳи рамзи сервер дар Instagram пайдо кардаанд, кӯмак кард.

Дар ҷараёни он 330 мушкилот муайян карда шуданд тафтиши автоматикунонидашудаи тағирот бо истифода аз Pysa, ки 49 (15%) -и онҳо назаррас арзёбӣ шуда, 131 (40%) хатарнок набуданд. Дар 150 ҳолат (45%) мушкилот ба мусбатҳои бардурӯғ мансуб дониста шуданд.

Таҷҳизоти нав ҳамчун замима ба абзори санҷиши навъи Pyre таҳия шудааст ва дар анбори шумо ҷойгир карда шудааст. Рамз тибқи литсензияи MIT бароварда мешавад.

Finalmente агар шумо хоҳед, ки дар бораи он маълумоти бештар гиред, шумо метавонед тафсилотро дар паёми аслӣ санҷед. Истинод ин аст.


Мазмуни мақола ба принсипҳои мо риоя мекунад ахлоқи таҳрирӣ. Барои гузориш додани хато клик кунед ин ҷо.

Аваллин эзоҳро диҳед

Назари худро бинависед

Суроғаи почтаи электронии шумо нест, нашр карда мешавад.

*

*

  1. Масъул барои маълумот: Мигел Анхел Гатан
  2. Мақсади маълумот: Назорати СПАМ, идоракунии шарҳҳо.
  3. Қонунӣ: Розигии шумо
  4. Иртиботи маълумот: Маълумот ба шахсони сеюм расонида намешавад, ба истиснои ӯҳдадориҳои қонунӣ.
  5. Нигоҳдории маълумот: Пойгоҳи додаҳо аз ҷониби Occentus Networks (ИА) ҷойгир карда шудааст
  6. Ҳуқуқҳо: Ҳар лаҳза шумо метавонед маълумоти худро маҳдуд, барқарор ва нест кунед.

bool (ҳақиқӣ)