ກູໂກໄດ້ນໍາສະເຫນີລະບົບການທົດສອບ fuzzing ClusterFuzzLite

ກູໂກໄດ້ນໍາສະເຫນີໂຄງການ ClusterFuzzLite, ເຊິ່ງອະນຸຍາດໃຫ້ຈັດຕັ້ງການທົດສອບ fuzzing ຂອງລະຫັດສໍາລັບການກວດສອບເບື້ອງຕົ້ນຂອງຊ່ອງໂຫວ່ທີ່ອາດຈະເກີດຂຶ້ນໃນລະຫວ່າງການປະຕິບັດງານຂອງລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງ. ໃນປັດຈຸບັນ, ClusterFuzz ສາມາດຖືກນໍາໃຊ້ເພື່ອອັດຕະໂນມັດການທົດສອບ fuzz ຂອງຄໍາຮ້ອງຂໍດຶງໃນ GitHub Actions, Google Cloud Build, ແລະ Prow, ແຕ່ການສະຫນັບສະຫນູນສໍາລັບລະບົບ CI ອື່ນໆແມ່ນຄາດວ່າຈະໃນອະນາຄົດ. ໂຄງການດັ່ງກ່າວແມ່ນອີງໃສ່ເວທີ ClusterFuzz, ສ້າງຂື້ນເພື່ອປະສານງານການເຮັດວຽກຂອງກຸ່ມການທົດສອບ fuzzing, ແລະຖືກແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ Apache 2.0.

ມັນໄດ້ຖືກສັງເກດເຫັນວ່າຫຼັງຈາກ Google ນໍາສະເຫນີບໍລິການ OSS-Fuzz ໃນປີ 2016, ຫຼາຍກວ່າ 500 ໂຄງການ open source ທີ່ສໍາຄັນໄດ້ຖືກຍອມຮັບເຂົ້າໃນໂຄງການທົດສອບ fuzzing ຢ່າງຕໍ່ເນື່ອງ. ອີງຕາມການທົດສອບທີ່ດໍາເນີນ, ຫຼາຍກວ່າ 6500 ຊ່ອງໂຫວ່ທີ່ໄດ້ຮັບການຢືນຢັນໄດ້ຖືກລົບລ້າງແລະຫຼາຍກວ່າ 21 ພັນຂໍ້ຜິດພາດຖືກແກ້ໄຂ. ClusterFuzzLite ສືບຕໍ່ພັດທະນາກົນໄກການທົດສອບ fuzzing ດ້ວຍຄວາມສາມາດໃນການກໍານົດບັນຫາກ່ອນຫນ້ານີ້ໃນຂັ້ນຕອນການທົບທວນຄືນຂອງການປ່ຽນແປງທີ່ສະເຫນີ. ClusterFuzzLite ໄດ້ຖືກປະຕິບັດແລ້ວໃນຂະບວນການທົບທວນການປ່ຽນແປງໃນໂຄງການ systemd ແລະ curl, ແລະເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະກໍານົດຄວາມຜິດພາດທີ່ພາດໂອກາດໂດຍເຄື່ອງວິເຄາະ static ແລະ linters ທີ່ໃຊ້ໃນຂັ້ນຕອນເບື້ອງຕົ້ນຂອງການກວດສອບລະຫັດໃຫມ່.

ClusterFuzzLite ຮອງຮັບການທົບທວນໂຄງການໃນ C, C++, Java (ແລະພາສາອື່ນໆທີ່ໃຊ້ JVM), Go, Python, Rust, ແລະ Swift. ການທົດສອບ fuzzing ແມ່ນດໍາເນີນໂດຍໃຊ້ເຄື່ອງຈັກ LibFuzzer. ເຄື່ອງມື AddressSanitizer, MemorySanitizer, ແລະ UBSan (UndefinedBehaviorSanitizer) ຍັງສາມາດຖືກເອີ້ນເພື່ອລະບຸຂໍ້ຜິດພາດຂອງຄວາມຈຳ ແລະ ຄວາມຜິດປົກກະຕິ.

ລັກສະນະທີ່ສໍາຄັນຂອງ ClusterFuzzLite: ການກວດສອບໄວຂອງການປ່ຽນແປງທີ່ສະເຫນີເພື່ອຊອກຫາຂໍ້ຜິດພາດກ່ອນທີ່ຈະຍອມຮັບລະຫັດ; ດາວໂຫຼດບົດລາຍງານກ່ຽວກັບສະພາບອຸປະຕິເຫດ; ຄວາມສາມາດໃນການກ້າວໄປສູ່ການທົດສອບ fuzzing ກ້າວຫນ້າເພື່ອກໍານົດຄວາມຜິດພາດທີ່ເລິກເຊິ່ງບໍ່ຫນ້າຫຼັງຈາກການກວດສອບການປ່ຽນແປງລະຫັດ; ການສ້າງບົດລາຍງານການຄຸ້ມຄອງເພື່ອປະເມີນການຄຸ້ມຄອງລະຫັດໃນລະຫວ່າງການທົດສອບ; ສະຖາປັດຕະຍະກໍາແບບໂມດູນທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດເລືອກຫນ້າທີ່ທີ່ກໍານົດໄວ້.

ໃຫ້ພວກເຮົາຈື່ໄວ້ວ່າການທົດສອບ fuzzing ກ່ຽວຂ້ອງກັບການສ້າງກະແສຂອງທຸກປະເພດຂອງການປະສົມປະສານແບບສຸ່ມຂອງຂໍ້ມູນປ້ອນເຂົ້າໃກ້ກັບຂໍ້ມູນທີ່ແທ້ຈິງ (ຕົວຢ່າງ, ຫນ້າ html ທີ່ມີພາລາມິເຕີແທັກແບບສຸ່ມ, ການເກັບຫຼືຮູບພາບທີ່ມີຫົວຂໍ້ຜິດປົກກະຕິ, ແລະອື່ນໆ), ແລະການບັນທຶກທີ່ເປັນໄປໄດ້. ຄວາມລົ້ມເຫຼວໃນຂະບວນການປຸງແຕ່ງຂອງພວກເຂົາ. ຖ້າລໍາດັບຂັດຂ້ອງຫຼືບໍ່ກົງກັບຄໍາຕອບທີ່ຄາດໄວ້, ພຶດຕິກໍານີ້ມີແນວໂນ້ມສູງທີ່ຈະຊີ້ໃຫ້ເຫັນເຖິງຂໍ້ຜິດພາດຫຼືຄວາມອ່ອນແອ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru