Categories
科技報導

Facebook宣布开源Instagram安全工具Pysa



2020 上半年,Pysa 在 Instagram 服务器端的 Python 代码中检测到了 44% 的安全漏洞。今天,Facebook 宣布正式将这款安全工具开源,以便广大开发者在应用程序庞大的 Python 代码库中进行 bug 查找和修复。作为一款静态分析器,其原理是在代码运行 / 编译之前,以静态的形式扫描代码、查找潜在已知的错误模式、然后帮助开发者标注出潜在的问题。

0.jpg

(图自:FB)

Facebook 表示,该工具最初由内部开发,但通过不断完善,其现在认为已经足够成熟。比如在 2020 上半年,Pysa 就帮助该公司在 Instagram 服务器端的 Python 代码中检出了所有安全漏洞中的 44% 。

作为 Pysa 幕后的功臣,Facebook 安全团队付出了相当多的努力。其基于 Pyre 项目的开源代码打造,但根据 FB 安全团队的实际需求而进行了构建。具体说来是,Pysa 可追踪程序中的数据流通。

1.png

(图自:FB)

现如今的大多数安全漏洞,都利用了未经过滤、或不受控制的数据流。以当前最严重的错误类型之一的远程代码执行(RCE)为例,其本质就是让某种输入抵达了代码库中不需要的部分。

作为应对,Pysa 工具可在后台对数据的通路进行分析,对其如何跨代码库进行传输而提供一些见解,尤其是那些由成千上万行复杂代码组成的大型代码库。

尽管这个概念并不新鲜,但 Facebook 还是借助 Zoncolan 对其进行了完善。后者是该公司于 2019 年 8 月发布的用于 Hack 的静态分析器,主要面向类似于 PHP 的编程语言。

2.png

(来自:Github)

两者都可对输入代码库的数据“源”和“接收器”进行查找,追溯其在代码库汇总的移动方式,并找到危险的“接收器”部分,比如可执行代码或检索敏感用户数据的函数。

当在输入源和危险的接收器之间发现连接时,Pysa 和 Zoncolan 就会向开发者发出警示,以便其展开相应的调查。在持续数月的内部测试期间,FB 安全团队也有密切参与。

最后,除了专注于效率和面向大型代码库而设计,Pysa 还具有可扩展的特性,可为运行不同的 Instagram 组件和功能支持奠定基础。