Google ने ClusterFuzzLite फ़ज़िंग परीक्षण प्रणाली पेश की

Google ने ClusterFuzzLite प्रोजेक्ट पेश किया है, जो निरंतर एकीकरण प्रणालियों के संचालन के दौरान संभावित कमजोरियों का शीघ्र पता लगाने के लिए कोड के फ़ज़िंग परीक्षण को व्यवस्थित करने की अनुमति देता है। वर्तमान में, क्लस्टरफ़ज़ का उपयोग GitHub Actions, Google Cloud Build और Prow में पुल अनुरोधों के फ़ज़ परीक्षण को स्वचालित करने के लिए किया जा सकता है, लेकिन भविष्य में अन्य CI प्रणालियों के लिए समर्थन की उम्मीद है। यह प्रोजेक्ट क्लस्टरफ़ज़ प्लेटफ़ॉर्म पर आधारित है, जिसे फ़ज़िंग परीक्षण क्लस्टर के काम को समन्वित करने के लिए बनाया गया है, और अपाचे 2.0 लाइसेंस के तहत वितरित किया गया है।

यह ध्यान दिया जाता है कि 2016 में Google द्वारा OSS-Fuzz सेवा शुरू करने के बाद, 500 से अधिक महत्वपूर्ण ओपन सोर्स प्रोजेक्ट्स को निरंतर फ़ज़िंग परीक्षण कार्यक्रम में स्वीकार किया गया था। किए गए परीक्षणों के आधार पर, 6500 से अधिक पुष्टि की गई कमजोरियों को समाप्त कर दिया गया और 21 हजार से अधिक त्रुटियों को ठीक किया गया। क्लस्टरफ़ज़लाइट प्रस्तावित परिवर्तनों के समीक्षा चरण में समस्याओं की पहचान करने की क्षमता के साथ फ़ज़िंग परीक्षण तंत्र विकसित करना जारी रखता है। ClusterFuzzLite को पहले से ही सिस्टमड और कर्ल परियोजनाओं में परिवर्तन समीक्षा प्रक्रियाओं में लागू किया गया है, और नए कोड की जांच के प्रारंभिक चरण में उपयोग किए जाने वाले स्थैतिक विश्लेषकों और लिंटर्स द्वारा छूटी गई त्रुटियों की पहचान करना संभव बना दिया है।

ClusterFuzzLite C, C++, Java (और अन्य JVM-आधारित भाषाओं), गो, पायथन, रस्ट और स्विफ्ट में प्रोजेक्ट समीक्षा का समर्थन करता है। फ़ज़िंग परीक्षण LibFuzzer इंजन का उपयोग करके किया जाता है। मेमोरी त्रुटियों और विसंगतियों की पहचान करने के लिए एड्रेससैनिटाइज़र, मेमोरीसैनिटाइज़र और यूबीसैन (अनडिफ़ाइंडबिहेवियरसैनिटाइज़र) टूल को भी बुलाया जा सकता है।

क्लस्टरफ़ज़लाइट की मुख्य विशेषताएं: कोड स्वीकृति से पहले त्रुटियों का पता लगाने के लिए प्रस्तावित परिवर्तनों की त्वरित जाँच; दुर्घटना स्थितियों पर रिपोर्ट डाउनलोड करना; कोड परिवर्तनों की जाँच के बाद सामने नहीं आने वाली गहरी त्रुटियों की पहचान करने के लिए अधिक उन्नत फ़ज़िंग परीक्षण की ओर बढ़ने की क्षमता; परीक्षण के दौरान कोड कवरेज का आकलन करने के लिए कवरेज रिपोर्ट तैयार करना; मॉड्यूलर आर्किटेक्चर जो आपको आवश्यक कार्यक्षमता का चयन करने की अनुमति देता है।

आइए याद रखें कि फ़ज़िंग परीक्षण में इनपुट डेटा के सभी प्रकार के यादृच्छिक संयोजनों की एक धारा उत्पन्न करना शामिल है जो वास्तविक डेटा के करीब हैं (उदाहरण के लिए, यादृच्छिक टैग पैरामीटर वाले HTML पृष्ठ, अभिलेखागार या असंगत शीर्षकों वाली छवियां, आदि), और रिकॉर्डिंग संभव है उनके प्रसंस्करण की प्रक्रिया में विफलताएँ। यदि कोई अनुक्रम क्रैश हो जाता है या अपेक्षित प्रतिक्रिया से मेल नहीं खाता है, तो इस व्यवहार से बग या भेद्यता का संकेत मिलने की अत्यधिक संभावना है।

स्रोत: opennet.ru