Google ले ClusterFuzzLite फजिङ परीक्षण प्रणाली प्रस्तुत गर्‍यो

Google ले ClusterFuzzLite परियोजना प्रस्तुत गरेको छ, जसले निरन्तर एकीकरण प्रणालीहरूको सञ्चालनको क्रममा सम्भावित कमजोरीहरूको प्रारम्भिक पत्ता लगाउन कोडको फजिङ परीक्षण व्यवस्थित गर्न अनुमति दिन्छ। हाल, ClusterFuzz GitHub कार्यहरू, Google Cloud Build, र Prow मा पुल अनुरोधहरूको फज परीक्षण स्वचालित गर्न प्रयोग गर्न सकिन्छ, तर अन्य CI प्रणालीहरूको लागि समर्थन भविष्यमा अपेक्षित छ। यो परियोजना क्लस्टरफज प्लेटफर्ममा आधारित छ, फजिङ टेस्टिङ क्लस्टरहरूको कामको समन्वय गर्न सिर्जना गरिएको हो, र Apache 2.0 लाइसेन्स अन्तर्गत वितरण गरिएको छ।

यो नोट गरिएको छ कि गुगलले 2016 मा OSS-Fuzz सेवा पेश गरेपछि, 500 भन्दा बढी महत्त्वपूर्ण खुला स्रोत परियोजनाहरू निरन्तर फजिङ परीक्षण कार्यक्रममा स्वीकार गरियो। गरिएका परीक्षणहरूको आधारमा, 6500 भन्दा बढी पुष्टि भएका कमजोरीहरू हटाइयो र 21 हजार भन्दा बढी त्रुटिहरू सच्याइयो। ClusterFuzzLite ले प्रस्तावित परिवर्तनहरूको समीक्षा चरणमा समस्याहरू पहिचान गर्ने क्षमताको साथ फज्जिङ परीक्षण संयन्त्रहरू विकास गर्न जारी राख्छ। ClusterFuzzLite लाई पहिले नै systemd र curl परियोजनाहरूमा परिवर्तन समीक्षा प्रक्रियाहरूमा लागू गरिएको छ, र नयाँ कोड जाँचको प्रारम्भिक चरणमा प्रयोग गरिएको स्थिर विश्लेषकहरू र linters द्वारा छुटेका त्रुटिहरू पहिचान गर्न सम्भव बनाएको छ।

ClusterFuzzLite ले C, C++, Java (र अन्य JVM-आधारित भाषाहरू), Go, Python, Rust, र Swift मा परियोजना समीक्षा समर्थन गर्दछ। LibFuzer इन्जिन प्रयोग गरेर Fuzzing परीक्षण गरिन्छ। ठेगाना सेनिटाइजर, मेमोरी सेनिटाइजर, र UBSan (अपरिभाषित व्यवहार सेनिटाइजर) उपकरणहरू पनि मेमोरी त्रुटिहरू र विसंगतिहरू पहिचान गर्न कल गर्न सकिन्छ।

ClusterFuzzLite का मुख्य विशेषताहरू: कोड स्वीकृति अघि त्रुटिहरू फेला पार्न प्रस्तावित परिवर्तनहरूको द्रुत जाँच; दुर्घटना अवस्थाहरूमा रिपोर्टहरू डाउनलोड गर्दै; कोड परिवर्तनहरू जाँच गरेपछि सतहमा नआएका गहिरो त्रुटिहरू पहिचान गर्न थप उन्नत फजिङ परीक्षणमा जान सक्ने क्षमता; परीक्षणको क्रममा कोड कभरेज मूल्याङ्कन गर्न कभरेज रिपोर्टहरूको उत्पादन; मोड्युलर वास्तुकला जसले तपाईंलाई आवश्यक कार्यक्षमता चयन गर्न अनुमति दिन्छ।

हामीलाई याद गरौं कि फज्जिङ परीक्षणले वास्तविक डेटाको नजिक रहेको इनपुट डेटाको सबै प्रकारका अनियमित संयोजनहरूको स्ट्रिम उत्पन्न गर्दछ (उदाहरणका लागि, अनियमित ट्याग प्यारामिटरहरू, अभिलेखहरू वा विसंगत शीर्षकहरू सहितका छविहरू, आदि) को साथ html पृष्ठहरू, र सम्भव रेकर्डिङ। तिनीहरूको प्रशोधन प्रक्रियामा असफलता। यदि अनुक्रम क्र्यास हुन्छ वा अपेक्षित प्रतिक्रियासँग मेल खाँदैन भने, यो व्यवहारले बग वा कमजोरीलाई संकेत गर्ने उच्च सम्भावना हुन्छ।

स्रोत: opennet.ru