Facebook 開源 Instagram 安全工具 Pysa

2020-12-12 開源中國

Facebook 宣布開源靜態分析工具 Pysa。這是 Instagram 上用於檢測和修復應用程式龐大 Python 代碼庫中錯誤的一個內部工具，可以自動識別 Facebook 工程師編寫的易受攻擊的代碼段，然後再將其集成到社交網絡的系統中。

其工作原理是在代碼運行/編譯之前，以靜態的形式掃描代碼、查找潛在已知的錯誤模式、然後幫助開發者標註出潛在的問題。Facebook 聲稱，Pysa 現已通過持續改進達到了成熟；在 2020 上半年，該工具在 Instagram 伺服器端的 Python 代碼中檢測到了 44% 的安全漏洞。

Pysa 是 Python Static Analyzer 的首字母縮寫，其基於 Pyre 項目的開原始碼構建，可以對 Python 應用程式中的數據流進行分析。此外，Pysa 還可以檢測常見的 Web 應用安全問題，例如 XSS 和 SQL 注入。

Pysa 的開發汲取了 Zoncolan 的經驗，其使用了與 Zoncolan 相同的算法執行靜態分析，甚至與 Zoncolan 共享了一些代碼。像 Zoncolan 一樣，Pysa 可追蹤程序中的數據流。Zoncolan 是 Facebook 於 2019 年 8 月發布的用於 Hack 的靜態分析器，主要面向類似於 PHP 的程式語言。

Pysa 和 Zoncolan 都可對輸入代碼庫的數據「源」和「接收器」進行查找，且都可以跟蹤數據在代碼庫中的移動方式，並找到危險的「接收器」部分，例如可以執行代碼或檢索敏感用戶數據的函數。當在輸入源和危險的接收器之間發現連接時，Pysa（和 Zoncolan）就會向開發者發出警示，以便其展開相應的調查。

此外，Pysa 也是為提高速度而構建的，它能夠在 30 分鐘到幾小時內處理數百萬行代碼。Pysa 的另一個特性則是具有可擴展性，Facebook 安全工程師Graham Bleaney 稱，「因為我們自己的產品使用了開源的 Python 伺服器框架，比如 Django 和 Tornado，所以 Pysa 可以從第一次運行就開始發現使用這些框架的項目的安全問題。而將 Pysa 用於我們尚未涉及的框架，一般來說只需添加幾行配置，告訴 Pysa 數據進入伺服器的位置即可。」

相關焦點

  • 10 款程式設計師必備的免費開源安全工具,助你成為極客
    信息安全工程師、網絡安全產品以及相關的技術和流程都需要耗費企業大量的成本，對於大部分企業來說，往往會縮減這一部分的支出，因此許多開發人員都會首選免費的開源安全工具。
  • 谷歌又一開源利器Atheris,Python代碼安全掃描工具
    近日谷歌開源了一款Python代碼安全漏洞掃描工具Atheris，希望開發者在漏洞被利用之前能夠用它來發現安全漏洞並修補漏洞。pythonAtheris介紹Atheris目前基於Apache-2.0 License開源在github上，Atheris是一個典型的漏洞檢查工具
  • Facebook開源算法代碼庫PySlowFast,輕鬆復現前沿視頻理解模型
    近日，FAIR視頻團隊在 ICCV 相關研討會上開源了視頻識別檢測代碼庫 PySlowFast，並同時發布了預訓練的模型庫。同時，該團隊表示，他們還將實時將他們的前沿工作添加至此代碼庫。項目地址：https://github.com/facebookresearch/SlowFastTutorial 地址（附 PPTT 資源）：https://alexanderkirillov.github.io/tutorials/visual-recognition-iccv19
  • 千人千面——手把手教你如何設置Facebook(DPA)動態廣告
    Facebook動態廣告 （ DPA，Dynamic Product Ads ）可根據用戶在網站，應用或者其他網絡平臺表現出的興趣,自動向他們推廣相關庫存，就外觀而言,動態廣告語facebook, instagram和audience network中的其他圖片廣告,輪播廣告或者精品欄廣告並無不同,但動態廣告無需針對每種推廣產品單獨創建廣告,相反你可以創建一個廣告模板,讓模板自動調用待推廣的商品目錄中的圖片和語言
  • Facebook與CMU聯手打造開源框架PyRobot,LeCun站臺的機器人研發...
    新智元報導 來源：Facebook AI編輯：元子【新智元導讀】Facebook AI近期對機器人技術非常熱衷，剛剛又開源了機器人框架PyRobot，該框架是與卡內基梅隆大學合作創建，可運行由Facebook的機器學習框架PyTorch訓練的深度學習模型。
  • Mintegral SDK已通過美國權威開源安全機構WhiteSource的安全審計
    據悉,移動廣告平臺 Mintegral 的 SDK 已通過美國權威第三方開源安全平臺 WhiteSource 的開源安全審計。WhiteSource 的審計報告顯示,Mintegral SDK 開原始碼的安全水平較高,可以為合作夥伴提供安全、可信賴的服務。
  • 如何使用Facebook和Instagram電商管理工具?
    一、為什麼要使用電商管理工具電商管理工具可幫助我們在 Facebook 和 Instagram 平臺銷售商品和管理業務。能提供結帳、Facebook 電商購買解決方案，以及處理庫存、訂單和進帳等服務。無論是小型 Facebook 公共主頁店鋪，還是與諸如 Shopify 等電子商務合作夥伴共同管理多個Facebook公共主頁店鋪、Marketplace 或 Instagram 平臺上的庫存，電商管理工具都能幫助提高經營效率。我們可以通過電商管理工具自行在臉書和Instagram平臺銷售商品，也可以與第三方電商平臺合作。
  • 微軟全新開源BUG尋找工具Project OneFuzz
    本文轉自【cnBeta.COM】；在為 Visual Studio Code 升級 C++ 擴展至 1.0 版本之外，今天微軟還宣布了一款新的開源工具--Project OneFuzz。作為已經退休的 Security Risk Detection Service 繼任者，該工具是面向 Azure 的開源自託管開發者模糊測試平臺。 模糊測試本質上是通過嚴格的測試過程來消除可利用的安全漏洞，包括用大量隨機數據淹沒相關程序。雖然相當有用，但執行起來往往也很複雜。
  • 10 個頂尖的 Linux 開源人工智慧工具
    在這篇文章中，我們將介紹幾個頂級的開源 Linux 生態系統的人工智慧（AI）工具。
  • Facebook開源全球最強聊天機器人Blender
    新智元原創　　編輯：鵬飛，白峰　　【新智元導讀】最近，Facebook開源了一個新的聊天機器人Blender，稱其擅長所有領域的聊天，並且更有人情味　　現在 Facebook 開源了一個新的聊天機器人Blender，它聲稱自己擅長所有領域的聊天，並且更有人情味。Blender 不僅幫助虛擬助手解決了許多聊天機器人的固有缺點，也標誌著人工智慧的新進展: 可複製的智能。
  • Facebook/Twitter/Ins/Pin批量增加粉絲的免費工具
    作為一名專業的社交網絡營銷人員，熟悉運用社交營銷工具不僅能提高工作效率、節省工作時間，還能豐富內容創意、提高內容質量。平時我們在運營Facebook/Twitter/Ins/Pin時，主要運用的工具有素材搜集加工工具、批量操作工具、內容處理工具、數據處理工具以及社交整合營銷工具等。今天環新給大家推薦的免費Facebook/Twitter/Ins/Pin批量增加粉絲工具就是社交營銷批量操作工具中的一種。
  • 機器人流程自動化(RPA):6大開源工具
    自建與購買之間還有一條道路：多個開源RPA項目為IT領導者和從業者提供了探索RPA的另一個選擇，無需完全從頭開始或被商業供應商束縛。開源聽起來可能會嚇到非開發人員，但在這方面有個好消息：雖然一些開源項目特別以開發人員為中心，但眾多解決方案與商業解決方案一樣強調易用性以及無代碼或低代碼工具。原因之一是：RPA使用場景涉及從財務、銷售到人力資源的各種業務職能。
  • 既保護隱私又快速訓練,Facebook開源Opacus庫,利用差分隱私訓練Py...
    近日，Facebook 開源了 Opacus 庫，支持以這種方式訓練 PyTorch 模型。近日，Facebook 開源了一個新型庫 Opacus，它支持使用差分隱私來訓練 PyTorch 模型，擴展性優於目前的 SOTA 方法。同時，Opacus 庫支持以最少代碼更改來訓練模型，且不會影響訓練性能，並允許在線跟蹤任意給定時刻的隱私預算。
  • Instagram下載_Instagram手機版下載_Instagram安卓版免費下載...
    大小: 31.86M 版本: 3.5.3 *使用360手機助手能下載目標軟體，安裝更安全
  • 註冊Facebook帳號以及日常養號問題
    怎麼通過手機驗證註冊facebook帳號親，你好。我和你一樣一直糾結怎麼通過手機驗證，但是大陸的手機號碼驗證是通不過的，包括網上說的用日本的ip去刷give me a call，所得出的驗證碼都會無效掉。但是我找到一個方法，就是直接用手機連工具註冊facebook帳號，ip美國的日本的都行。
  • 十三種好用的免費安全測試工具
    有時候，人們會認為與安全相關的測試是最難以實現自動化的部分。此類測試往往缺乏容易上手的簡單工具。其實，這主要是由於測試人員未找到合適的資源。本文將向您介紹十三種頂級易用的、且免費開源的安全測試工具。它是一種模塊化的開源框架，其目標是為了簡化針對iOS應用安全評估的整體過程。同時，該工具能夠為您提供各種安全測試活動的關鍵要點。除了面向專業的安全測試人員，開發人員也可以用它來加固自己編寫出的程序代碼。3.
  • 怎麼檢測網站是否安全?網站安全測試的工具有哪些?
    然後再回到360網站安全檢測平臺官網，在網址輸入欄中右擊——粘貼要檢測的網址。然後點擊後面的【檢測一下】。然後會給出檢測結果。顯示100分說明網站是非常安全的。當然，如果您輸入的網址是可疑網址，就會不報告安全性問題。有哪些比較優秀的網站安全監測de的工具和軟體?
  • 谷歌開源 Scorecards,為開源項目安全性「打分」
    開源軟體的廣泛應用催生了日漸增多的開源軟體供應鏈攻擊，與普通供應鏈攻擊不同，開源軟體擁有更長的「信任鏈」和更大的影響力，因此導致的結果之一就是破壞性更大
  • N 個免費 DevOps 開源工具,沒用過,至少應該了解!
    在DevOps環境中，開發人員和系統管理員會構建一些關係、流程和工具，從而更好的與客戶互動，最終提供更好的服務。簡單了解了Devops是個啥之後，一起來看看下面這60多款最棒的開源工具，可以幫助你很好的實行 DevOps。
  • Facebook 開源 3D 深度學習函數庫 PyTorch3D
    原標題：Facebook開源3D深度學習函數庫PyTorch3D來源：開源中國Facebook近日開源了將PyTorch用於3D深度學習的函數庫PyTorch3D，這是一個高度模塊化且經過優化的庫，具備獨有的功能，旨在通過PyTorch簡化3D深度學習。