Facebook 開源 Instagram 安全工具 Pysa

2020-12-24 IT之家

Facebook 宣布開源靜態分析工具 Pysa。這是 Instagram 上用於檢測和修復應用程式龐大 Python 代碼庫中錯誤的一個內部工具，可以自動識別 Facebook 工程師編寫的易受攻擊的代碼段，然後再將其集成到社交網絡的系統中。

其工作原理是在代碼運行 / 編譯之前，以靜態的形式掃描代碼、查找潛在已知的錯誤模式、然後幫助開發者標註出潛在的問題。Facebook 聲稱，Pysa 現已通過持續改進達到了成熟；在 2020 上半年，該工具在 Instagram 伺服器端的 Python 代碼中檢測到了 44% 的安全漏洞。

Pysa 是 Python Static Analyzer 的首字母縮寫，其基於 Pyre 項目的開原始碼構建，可以對 Python 應用程式中的數據流進行分析。此外，Pysa 還可以檢測常見的 Web 應用安全問題，例如 XSS 和 SQL 注入。

Pysa 的開發汲取了 Zoncolan 的經驗，其使用了與 Zoncolan 相同的算法執行靜態分析，甚至與 Zoncolan 共享了一些代碼。像 Zoncolan 一樣，Pysa 可追蹤程序中的數據流。Zoncolan 是 Facebook 於 2019 年 8 月發布的用於 Hack 的靜態分析器，主要面向類似於 PHP 的程式語言。

Pysa 和 Zoncolan 都可對輸入代碼庫的數據 「源」和 「接收器」進行查找，且都可以跟蹤數據在代碼庫中的移動方式，並找到危險的 「接收器」部分，例如可以執行代碼或檢索敏感用戶數據的函數。當在輸入源和危險的接收器之間發現連接時，Pysa（和 Zoncolan）就會向開發者發出警示，以便其展開相應的調查。

此外，Pysa 也是為提高速度而構建的，它能夠在 30 分鐘到幾小時內處理數百萬行代碼。Pysa 的另一個特性則是具有可擴展性，Facebook 安全工程師 Graham Bleaney 稱，「因為我們自己的產品使用了開源的 Python 伺服器框架，比如 Django 和 Tornado，所以 Pysa 可以從第一次運行就開始發現使用這些框架的項目的安全問題。而將 Pysa 用於我們尚未涉及的框架，一般來說只需添加幾行配置，告訴 Pysa 數據進入伺服器的位置即可。」

相關焦點

  • 奇安信開源衛士率先通過可信開源治理工具評估
    近年來，開源熱度不斷攀升，開源許可證的兼容性問題、開源項目的合規問題、開源安全漏洞問題和開源智慧財產權的侵權等問題日趨凸顯，企業需要藉助開源治理工具對軟體開發項目進行成分分析，從而降低開源風險，但不同開源治理工具的能力和技術均存在差距，給企業選型造成了不小的困惑。
  • Facebook開源算法代碼庫,輕鬆復現前沿視頻理解模型
    近日，FAIR視頻團隊在 ICCV 相關研討會上開源了視頻識別檢測代碼庫 PySlowFast，並同時發布了預訓練的模型庫。同時，該團隊表示，他們還將實時將他們的前沿工作添加至此代碼庫。
  • 微軟全新開源BUG尋找工具Project OneFuzz
    本文轉自【cnBeta.COM】；在為 Visual Studio Code 升級 C++ 擴展至 1.0 版本之外，今天微軟還宣布了一款新的開源工具--Project OneFuzz。作為已經退休的 Security Risk Detection Service 繼任者，該工具是面向 Azure 的開源自託管開發者模糊測試平臺。 模糊測試本質上是通過嚴格的測試過程來消除可利用的安全漏洞，包括用大量隨機數據淹沒相關程序。雖然相當有用，但執行起來往往也很複雜。
  • 10 個頂尖的 Linux 開源人工智慧工具
    在這篇文章中，我們將介紹幾個頂級的開源 Linux 生態系統的人工智慧（AI）工具。
  • 如何選擇Facebook廣告版位詳細講解
    有facebook動態消息，facebook右邊欄，facebook視頻動態，facebook marketplace，facebook快拍，facebook視頻插播位，facebook搜索結果，facebook即閱文。 ps：Facebook平臺就不用多解釋了，廣告會在Facebook這個平臺上述的8個版位裡面展示。 2，Instagram：包括了那些具體版位呢？
  • 匯量科技Mintegral SDK已通過美國權威開源安全機構WhiteSource的...
    WhiteSource 的審計報告顯示，Mintegral SDK 開原始碼的安全水平較高，可以為合作夥伴提供安全、可信賴的服務。開源安全是數據安全的重要基礎回顧過去兩年，數據安全問題愈發凸顯，而確保數據安全涉及到企業安全管理制度、技術系統、合規性等多方面。
  • 開源免費的 USB 啟動盤製作工具 Rufus 正式版發布!
    說到 USB 啟動盤其實在國內有非常多類似的軟體或工具，只是它們的功能和體積上多少有些不同。
  • 最新GitHub前10的JavaScript開源項目分享
    3月份已經過去，是時候總結一波GitHub上最熱門的JavaScript開源項目啦
  • 可信開源生態——2020 OSCAR雲計算開源產業大會成功召開
    《開源法則》結合中國開源產業實際發展情況，對開源軟體的歷史和發展、開源社區生態和運營、企業參與開源與引入開源的原則和方法等內容進行了詳細的闡述，同時針對開源軟體在使用中的安全問題和風險、與開源軟體安全治理相關的方法和工具等進行了介紹。該書是目前市場上為數不多的一本全景式、系統性論述開源的專業書籍。
  • Signal:安全、開源的聊天應用
    Signal 是一款智慧型手機上的安全開源聊天應用。對於關注隱私的人來說，Signal 是 WhatsApp（和 Telegram）的絕佳替代品 Signal 是一款關注隱私的開源應用。像愛德華·斯諾登這樣的隱私權倡導者建議使用它。 它可能沒有 Telegram 或 WhatsApp 這麼多的功能。但是，如果你想在交流時增強隱私，這是一個可靠的開源方案。
  • 千人千面--手把手教你如何設置Facebook(DPA)動態廣告
    Facebook動態廣告  （ DPA，Dynamic Product Ads ）可根據用戶在網站，應用或者其他網絡平臺表現出的興趣,自動向他們推廣相關庫存，就外觀而言,動態廣告語facebook, instagram和audience network中的其他圖片廣告,輪播廣告或者精品欄廣告並無不同,但動態廣告無需針對每種推廣產品單獨創建廣告,相反你可以創建一個廣告模板,讓模板自動調用待推廣的商品目錄中的圖片和語言
  • 【新聞】吳亦凡的instagram帳號與郵箱被盜
    以下為聲明原文：　　 聲 明　　致各位關心和支持吳亦凡的粉絲、朋友和媒體：　　吳亦凡先生於2014年11月8日下午13:00到10日凌晨4:00左右，個人微信帳號、Google郵箱、instagram帳號等相關網絡帳戶被盜取密碼、個人資料被竊取、隱私被侵犯，其instagram
  • 讓開源治理更可信 2020 年可信開源評估結果即將發布
    得益於對企業生產力和工作質量的提升，開源熱度在全球持續升溫，我國企業也已經普遍接受開源技術。為了應對開源的安全性和合規性等風險，企業紛紛構建起內部開源治理體系，卻在面對市場上大量的開源項目、開源治理方法和開源治理工具時「無從下手」。
  • Facebook 開源 3D 深度學習函數庫 PyTorch3D
    原標題：Facebook開源3D深度學習函數庫PyTorch3D來源：開源中國Facebook近日開源了將PyTorch用於3D深度學習的函數庫PyTorch3D，這是一個高度模塊化且經過優化的庫，具備獨有的功能，旨在通過PyTorch簡化3D深度學習。
  • 介紹一款好用的查找海外紅人工具Klear
    最近發現了一個不錯的查找海外youtube,instagram,blogs,twitter,pintrest以及facebook海外網紅等不錯的工具就是Klear(klear.com)，這個網站就是一個網紅的各類各渠道的網紅集合體, 涵蓋了以上提到的幾種Youtube,instagram,blogs海外網紅等，比之前介紹的一些工具只能看到youtube或者instagram
  • 百度開源進行時
    作為國內 AI 開源的扛把子，百度飛槳集深度學習核心訓練和推理框架、基礎模型庫、端到端開發套件和豐富的工具組件於一體，並根據本土化特點將開源框架與應用層面做了更好的結合，旨在打造自主可控的人工智慧作業系統，持續賦能廣大開發者，這意味著個人開發者也可以利用飛槳提供的平臺部署自己的深度學習模型。
  • 如何解除Instagram帳號被限制問題?
    如果你的facebook是新的，你會發現，莫名其妙的你就不能加群，或者是即使加進去也不能發表圖文消息。這其實都是facebook對新帳號的考察。同樣的instagram帳號也是同一個道理，如果你是新號，你就期待裡面follow一大堆，就會出現上面那哥們的問題。
  • 電腦端免費開源GIF錄製工具--ScreenToGif更新
    版本：v2.27.2更新日期：2020年9月21日軟體介紹：ScreenToGif，國外免費開源小巧實用的Gif動畫錄製工具！這款非常優秀的工具原生單執行文件，界面非常簡單，功能很實用，它具有錄製屏幕、錄製攝像頭、錄製畫板、編輯器等功能，編輯器功能非常強大，支持自定義Gif循環播放次數，哪些畫面不要的話，還可以對個別刪除掉，相當簡單且方便！
  • 軟體時代|開源,希冀還是噩夢?
    總部位於慕尼黑的寶馬集團一級軟體服務解決方案提供商itk的軟體工程師就告訴智庫君，為了加速進行軟體研發和標準化測試，軟體工程師們發揮主觀能動性變得越來越重要，而靈活使用開發者社區中的各類現有代碼和工具就是捷徑之一。
  • 這10個安全測試工具,優秀且免費
    有不少開發人員覺得安全測試是最難以實現自動化的部分，其實這主要是由於沒有找到合適的工具來進行測試。今天給大家介紹10個易用、開源且免費的安全測試工具，希望能夠對你有幫助。Nishang是有效負載與腳本的結合，可以用PowerShell來進行滲透式、攻擊性安全、以及紅隊測試。測試人員可以在當前滲透測試的各個階段使用到該工具。2、TaipanTaipan是自動化的Web應用類漏洞掃描程序，能自動化進行Web漏洞的識別。