Facebook 开源 Instagram 安全工具 Pysa-低调大师

Facebook 开源 Instagram 安全工具 Pysa

2020-08-10 682

Facebook 宣布开源静态分析工具 Pysa。这是 Instagram 上用于检测和修复应用程序庞大 Python 代码库中错误的一个内部工具，可以自动识别 Facebook 工程师编写的易受攻击的代码段，然后再将其集成到社交网络的系统中。

其工作原理是在代码运行/编译之前，以静态的形式扫描代码、查找潜在已知的错误模式、然后帮助开发者标注出潜在的问题。Facebook 声称，Pysa 现已通过持续改进达到了成熟；在 2020 上半年，该工具在 Instagram 服务器端的 Python 代码中检测到了 44% 的安全漏洞。

Pysa 是 Python Static Analyzer 的首字母缩写，其基于 Pyre 项目的开源代码构建，可以对 Python 应用程序中的数据流进行分析。此外，Pysa 还可以检测常见的 Web 应用安全问题，例如 XSS 和 SQL 注入。

Pysa 的开发汲取了 Zoncolan 的经验，其使用了与 Zoncolan 相同的算法执行静态分析，甚至与 Zoncolan 共享了一些代码。像 Zoncolan 一样，Pysa 可追踪程序中的数据流。Zoncolan 是 Facebook 于 2019 年 8 月发布的用于 Hack 的静态分析器，主要面向类似于 PHP 的编程语言。

Pysa 和 Zoncolan 都可对输入代码库的数据“源”和“接收器”进行查找，且都可以跟踪数据在代码库中的移动方式，并找到危险的“接收器”部分，例如可以执行代码或检索敏感用户数据的函数。当在输入源和危险的接收器之间发现连接时，Pysa（和 Zoncolan）就会向开发者发出警示，以便其展开相应的调查。

此外，Pysa 也是为提高速度而构建的，它能够在 30 分钟到几小时内处理数百万行代码。Pysa 的另一个特性则是具有可扩展性，Facebook 安全工程师Graham Bleaney 称，“因为我们自己的产品使用了开源的 Python 服务器框架，比如 Django 和 Tornado，所以 Pysa 可以从第一次运行就开始发现使用这些框架的项目的安全问题。而将 Pysa 用于我们尚未涉及的框架，一般来说只需添加几行配置，告诉 Pysa 数据进入服务器的位置即可。”

微信关注我们

原文链接：https://www.oschina.net/news/117810/facebook-open-source-pysa

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

每日一博 | Flutter Dojo 的设计之道

认识Flutter是在18年，移动端开发日趋成熟的情况下，很多开发者都在寻求跨平台开发的终极法门，在经过了webview、RN的痛苦之后，Flutter的出现，给跨平台开发带来了一线曙光。自此，便开始了Flutter的学习之路，布道师之路，修仙之路。筑基 Flutter的学习曲线很奇怪，像坐过山车一样，初学很简单，上手几天，很快就能写一些基本的界面，但是很快就遇到了瓶颈，因为官方的Widget越来越多，越来越复杂，学了忘，忘了学，有些人突破了，成为了一代先驱，有些人则被搞的一团雾水，大骂一声，垃圾Flutter，毁我青春。相信大部分上手的开发者，都会抱怨两个问题，一是Widget太多，二是嵌套太多。嵌套太多的问题，没什么好解释的，大部分有这种抱怨的人，都是因为不知道如何正确的使用茫茫多的Widget而恼羞成怒的。对于UI界面来说，树形结构是表现UI最好的方式，当然可以通过很多其它的方式来减少嵌套，但simple is fast，Android xml布局中，嵌套近十层的布局比比皆是，这对于写UI来说，并不会造成什么困扰。但是Widget太多，确实是一个比较麻烦的问题，这里的学习...

2020-08-10

700

回顾一周社区热门资讯第【八十三】期：20200801-20200807 点击相应标题，跳转阅读全文可拆卸更换键位，System76 的 Linux 键盘原型浮现 “舒适”和“不出错”是一大目标。 Apache Cocoon 2.1.13 发布，时隔七年的新版本 Cocoon 使用 XML、Extensible Stylesheet Language Transformations（XSLT），以及 Simple API for XML（SAX）技术，以帮助创建、部署和维护 XML 服务器应用程序。 Bootstrap 开源 SVG 图标库 Bootstrap Icons Linux Kernel 5.8 发布增加了对一系列 Adreno GPU 芯片（如 405、640 和 650 版本）的支持，新的 Spectre 补丁以及 exFAT 改进。Radeon 驱动在此版本中也得到了更好的支持，POWER10 芯片也得到了改进。 Linux 基金会联合厂商成立开源安全基金会 OpenSSF 一项跨行业的合作，通过建立具有针对性的计划和最佳实践的更广泛的社区，并将领导者聚集在一起，以...

2020-08-10

807

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。