Sydr-Fuzz：面向安全开发生命周期的持续混合模糊测试与动态分析
密码学与安全
2023-03-24 v2 软件工程
摘要
当前，用于持续测试的自动化动态分析框架需求旺盛，以确保软件安全并满足安全开发生命周期（SDL）要求。前沿混合模糊测试技术的安全漏洞挖掘效率优于广泛使用的覆盖引导模糊测试。我们提出了一种增强的动态分析流水线，以基于混合模糊测试提升自动化缺陷检测的效率。我们在持续模糊测试工具集 Sydr-Fuzz 中实现了所提出的流水线，其由混合模糊测试编排器驱动，将我们的 DSE 工具 Sydr 与 libFuzzer 和 AFL++ 集成。Sydr-Fuzz 还集成了安全谓词检查器、崩溃分类工具 Casr，以及用于语料库最小化和覆盖率收集的实用程序。我们的混合模糊测试器与替代的先进方案基准测试表明，其相对于覆盖引导模糊测试器具有优越性，同时与高级混合模糊测试器处于同一水平。此外，我们通过在 OSS-Sydr-Fuzz 项目中发现 85 个新的真实软件缺陷，证实了该方法的相关性。最后，我们向社区开放 Casr 源代码，以促进对现有崩溃的审查。
引用
@article{arxiv.2211.11595,
title = {Sydr-Fuzz: Continuous Hybrid Fuzzing and Dynamic Analysis for Security Development Lifecycle},
author = {Alexey Vishnyakov and Daniil Kuts and Vlada Logunova and Darya Parygina and Eli Kobrin and Georgy Savidov and Andrey Fedotov},
journal= {arXiv preprint arXiv:2211.11595},
year = {2023}
}