谷歌的os-fuzz捕蟲機(jī)器人一直在努力工作。最近幾個(gè)月，已經(jīng)發(fā)現(xiàn)了1000多個(gè)bug。

根據(jù)Chrome安全工程師Oliver Chang和Abhishek Arya、軟件工程師Kostya Serebryany和谷歌安全項(xiàng)目經(jīng)理Josh Armour的說(shuō)法，os-fuzz robot在過(guò)去五個(gè)月里一直在網(wǎng)上搜索可利用的安全漏洞。

OSS-Fuzz機(jī)器人使用一種叫做fuzzing的技術(shù)來(lái)尋找bug。模糊化是一種自動(dòng)方法，它使用大量隨機(jī)數(shù)據(jù)來(lái)使系統(tǒng)或軟件崩潰。通過(guò)這樣做，模糊化可以快速找到錯(cuò)誤和潛在的漏洞，而無(wú)需安全專業(yè)人員做很多工作。

這個(gè)過(guò)程本身是完美的。隨著今年os-fuzz在整個(gè)社區(qū)的引入，每天有超過(guò)10萬(wàn)億的測(cè)試輸入被處理。與開(kāi)源社區(qū)一起，在47個(gè)項(xiàng)目中發(fā)現(xiàn)了1000多個(gè)bug，其中264個(gè)是潛在的安全漏洞。

發(fā)現(xiàn)的錯(cuò)誤和潛在的安全問(wèn)題包括堆緩沖區(qū)溢出、未使用的漏洞、堆棧溢出和數(shù)據(jù)泄漏。然而，模糊化不僅關(guān)注與記憶相關(guān)的問(wèn)題，還記錄正確性或邏輯錯(cuò)誤。

值得注意的是，os-fuzz在一些備受關(guān)注的項(xiàng)目中發(fā)現(xiàn)了大量的安全漏洞，這些項(xiàng)目為知名的消費(fèi)類軟件提供了支持和組件。FreeType2共發(fā)現(xiàn)10個(gè)bug，F(xiàn)Fmpeg 17個(gè)，libre office 33個(gè)，SQLite 3 8個(gè)，GnuTLS 10個(gè)，PCRE2 25個(gè)，gRPC個(gè)，Wireshark 7個(gè)。(有些發(fā)現(xiàn)與其他研究人員的工作相沖突，有些發(fā)現(xiàn)是有限的。)

Google :表示，“一旦一個(gè)項(xiàng)目被集成到os-fuzz中，os-fuzz的連續(xù)和自動(dòng)特性意味著我們經(jīng)常會(huì)在上游資源庫(kù)引入回歸后的幾個(gè)小時(shí)內(nèi)捕捉到這些問(wèn)題，從而減少用戶受到影響的機(jī)會(huì)。”

谷歌模糊化作為一種安全工具，應(yīng)該被主流采用。為此，這家科技巨頭正在擴(kuò)大補(bǔ)丁獎(jiǎng)勵(lì)計(jì)劃，以包括對(duì)使用機(jī)器人的信息技術(shù)專業(yè)人員的獎(jiǎng)勵(lì)。

為了滿足這一要求，項(xiàng)目必須擁有龐大的用戶群或全球信息技術(shù)基礎(chǔ)設(shè)施。當(dāng)OSS-Fuzz首次推出時(shí)，它將獲得1000美元的獎(jiǎng)勵(lì)，谷歌認(rèn)為這是“理想的集成”，最高可達(dá)2萬(wàn)美元。如果供應(yīng)商和員工選擇將他們的獎(jiǎng)勵(lì)捐贈(zèng)給慈善機(jī)構(gòu)，這個(gè)數(shù)額將翻倍。

有興趣的可以聯(lián)系谷歌申請(qǐng)。

谷歌團(tuán)隊(duì)說(shuō)：“我們要感謝現(xiàn)有的貢獻(xiàn)者，他們整合了他們的項(xiàng)目，修復(fù)了無(wú)數(shù)的bug?！薄拔覀兿Ｍ吹礁嗟捻?xiàng)目集成到os-fuzz中，并在開(kāi)發(fā)軟件時(shí)更多地使用fuzzing作為標(biāo)準(zhǔn)實(shí)踐?！?