Google បានណែនាំប្រព័ន្ធសាកល្បង Fuzzing ClusterFuzzLite

Google បានណែនាំគម្រោង ClusterFuzzLite ដែលអនុញ្ញាតឱ្យរៀបចំការធ្វើតេស្តកូដក្លែងក្លាយសម្រាប់ការរកឃើញដំបូងនៃភាពងាយរងគ្រោះដែលមានសក្តានុពលក្នុងអំឡុងពេលប្រតិបត្តិការនៃប្រព័ន្ធរួមបញ្ចូលជាបន្តបន្ទាប់។ បច្ចុប្បន្ន ClusterFuzz អាចត្រូវបានប្រើដើម្បីធ្វើស្វ័យប្រវត្តិកម្មការធ្វើតេស្ត fuzz នៃសំណើទាញនៅក្នុង GitHub Actions, Google Cloud Build និង Prow ប៉ុន្តែការគាំទ្រសម្រាប់ប្រព័ន្ធ CI ផ្សេងទៀតត្រូវបានរំពឹងទុកនាពេលអនាគត។ គម្រោងនេះគឺផ្អែកលើវេទិកា ClusterFuzz ដែលបង្កើតឡើងដើម្បីសំរបសំរួលការងារនៃក្រុមសាកល្បង fuzzing ហើយត្រូវបានចែកចាយក្រោមអាជ្ញាប័ណ្ណ Apache 2.0 ។

វាត្រូវបានកត់សម្គាល់ថាបន្ទាប់ពី Google ណែនាំសេវាកម្ម OSS-Fuzz ក្នុងឆ្នាំ 2016 គម្រោងប្រភពបើកចំហសំខាន់ៗជាង 500 ត្រូវបានទទួលយកទៅក្នុងកម្មវិធីសាកល្បងឥតឈប់ឈរ។ ដោយផ្អែកលើការធ្វើតេស្តដែលបានធ្វើឡើង ភាពងាយរងគ្រោះដែលបានបញ្ជាក់ជាង 6500 ត្រូវបានលុបចោល ហើយកំហុសជាង 21 ពាន់ត្រូវបានកែដំរូវ។ ClusterFuzzLite បន្តបង្កើតយន្តការសាកល្បងដែលស្រពិចស្រពិល ជាមួយនឹងសមត្ថភាពក្នុងការកំណត់បញ្ហាមុននៅដំណាក់កាលពិនិត្យឡើងវិញនៃការផ្លាស់ប្តូរដែលបានស្នើឡើង។ ClusterFuzzLite ត្រូវ​បាន​អនុវត្ត​រួច​ហើយ​ក្នុង​ដំណើរ​ការ​ពិនិត្យ​មើល​ការ​ផ្លាស់​ប្តូរ​នៅ​ក្នុង​គម្រោង systemd និង curl ហើយ​បាន​ធ្វើ​ឱ្យ​វា​អាច​កំណត់​អត្តសញ្ញាណ​កំហុស​ដែល​ខកខាន​ដោយ​អ្នក​វិភាគ​ឋិតិវន្ត​ និង​ linters ដែល​ប្រើ​នៅ​ដំណាក់​កាល​ដំបូង​នៃ​ការ​ពិនិត្យ​កូដ​ថ្មី។

ClusterFuzzLite គាំទ្រការពិនិត្យមើលគម្រោងនៅក្នុង C, C++, Java (និងភាសាផ្សេងទៀតដែលមានមូលដ្ឋានលើ JVM), Go, Python, Rust និង Swift ។ ការធ្វើតេស្ត Fuzzing ត្រូវបានអនុវត្តដោយប្រើម៉ាស៊ីន LibFuzzer ។ ឧបករណ៍ AddressSanitizer, MemorySanitizer, និង UBSan (UndefinedBehaviorSanitizer) ក៏អាចត្រូវបានគេហៅថាដើម្បីកំណត់អត្តសញ្ញាណកំហុស និងភាពមិនប្រក្រតីនៃការចងចាំផងដែរ។

លក្ខណៈសំខាន់ៗរបស់ ClusterFuzzLite៖ ពិនិត្យរហ័សនៃការផ្លាស់ប្តូរដែលបានស្នើឡើង ដើម្បីស្វែងរកកំហុសមុនពេលទទួលយកកូដ។ ទាញយករបាយការណ៍ស្តីពីលក្ខខណ្ឌគាំង; សមត្ថភាពក្នុងការបន្តទៅការធ្វើតេស្ត fuzzing កម្រិតខ្ពស់បន្ថែមទៀតដើម្បីកំណត់អត្តសញ្ញាណកំហុសកាន់តែជ្រៅដែលមិនបានកើតឡើងបន្ទាប់ពីពិនិត្យមើលការផ្លាស់ប្តូរកូដ។ ការបង្កើតរបាយការណ៍គ្របដណ្តប់ដើម្បីវាយតម្លៃការគ្របដណ្តប់កូដកំឡុងពេលធ្វើតេស្ត។ ស្ថាបត្យកម្មម៉ូឌុលដែលអនុញ្ញាតឱ្យអ្នកជ្រើសរើសមុខងារដែលត្រូវការ។

ចូរយើងរំលឹកឡើងវិញថា ការធ្វើតេស្ត fuzzing ពាក់ព័ន្ធនឹងការបង្កើតស្ទ្រីមគ្រប់ប្រភេទនៃបន្សំចៃដន្យនៃទិន្នន័យបញ្ចូលដែលនៅជិតទិន្នន័យពិត (ឧទាហរណ៍ ទំព័រ html ដែលមានប៉ារ៉ាម៉ែត្រស្លាកចៃដន្យ បណ្ណសារ ឬរូបភាពដែលមានចំណងជើងមិនប្រក្រតី។ល។) និងការថតអាចធ្វើទៅបាន។ ការបរាជ័យក្នុងដំណើរការដំណើរការរបស់ពួកគេ។ ប្រសិនបើ​លំដាប់​មួយ​គាំង ឬ​មិន​ត្រូវគ្នា​នឹង​ការ​ឆ្លើយតប​ដែល​បាន​រំពឹងទុក នោះ​ឥរិយាបថ​នេះ​ទំនង​ជា​បង្ហាញ​ពី​កំហុស ឬ​ភាពងាយ​រងគ្រោះ។

ប្រភព: opennet.ru