谷歌开源 Python 代码漏洞查找工具 Atheris

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

谷歌安全专家又开源了另外一款自动化模糊测试工具，希望开发人员能够使用该工具在漏洞遭利用前，找到并修复漏洞。这款工具名为“Atheris”，是一款典型的模糊测试工具。

模糊测试工具和模糊测试技术的工作原理是，为软件应用提供大量随机数据并分析关于异常和崩溃情况的输出，从而使得开发人员能够了解某款应用代码中很可能存在的漏洞及其所处位置。

多年来，谷歌安全研究员一直都在不遗余力地推广使用模糊测试工具，不仅用于发现普通漏洞，而且还发现可被攻击者利用的危险漏洞。

自2013年以来，谷歌安全研究员就已经创建并开源了多款模糊测试工具，如 OSS-Fuzz、Syzkaller、ClusterFuzz、Fuzzilli 和 BrokenType。不过这些工具都是为了发现 C 或 C++ 应用程序中的漏洞。

专为 Python 代码库而创建

Atheris 是谷歌为应对日益流行的 Python 编程语言而设置的。上个月，Python 在 TIOBE 索引的排名为第3名。

Atheris 是谷歌在去年10月份举行的一次内部黑客马拉松活动上开发的，支持通过 Python 2.7 和 Python 3.3+ 版本编写的代码，同时支持通过 CPython 创建的原生扩展。

然而，谷歌表示使用 Atheris 的最佳代码是使用Python 3.8及后续版本编写的代码。这些 Python 版本中的新增功能有助于 Atheris 找到更多的漏洞。

谷歌表示，未来计划在 OSS-Fuzz 上增加对 Atheris 模糊测试的支持。此前，OSS-Fuzz 仅支持 C 和 C++ 模糊测试且极其成功，多年来找到了数千个漏洞。截止到2020年6月，OSS-Fuzz 已经在300个开源项目中找到了2万多个漏洞。

Atheris 现已在 GitHub 上开源，同时可从Python 数据包库 PyPI 中获取，地址如下：

https://github.com/google/atheris
https://pypi.org/project/atheris/

推荐阅读

谷歌开源漏洞扫描器“海啸”，专为大型企业服务

微软开源用于大规模查找并修复漏洞的开发者工具 Project OneFuzz 框架

Facebook 开源 Instagram 的Python 代码静态安全分析工具 Pysa

原文链接

https://www.zdnet.com/article/google-open-sources-atheris-a-tool-for-finding-security-bugs-in-python-code/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

谷歌开源 Python 代码漏洞查找工具 Atheris相关推荐

谷歌开源文件访问漏洞审计工具 PathAuditor（详解）
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队本周一,谷歌宣布开放 PathAuditor 工具的源代码,帮助开发人员找到和文件访问相关的漏洞,不过它并非受谷歌官方支持的产品. 谷 ...
Metasploit是一款开源的安全漏洞检测工具，
Metasploit是一款开源的安全漏洞检测工具,可以帮助安全和IT专业人士识别安全性问题,验证漏洞的缓解措施,并管理专家驱动的安全性进行评估,适合于需要核实漏洞的安全专家,同时也适合于强大进攻能力的 ...
python代码安全扫描工具
python代码安全扫描工具:Coverity. Fortify.SecMissile(漏扫,对源代码提供基于语义的搜索和分析能力,实现已知安全漏洞的快速扫描) 转载于:https://www.cnb ...
帮写python代码_10个工具，帮你写出更好的Python代码
我每天都使用这些实用程序来使我的Python代码可显示. 它们是免费且易于使用的. 编写漂亮的Python比看起来难. 作为发布工作流程的一部分,我使用以下工具使代码可显示并消除可避免的错误. 1. ...
推荐一款免费开源的代码质量分析工具
文章目录一.简介二.环境安装三.使用说明四.其他报错 UnicodeDecodeError: 'ascii' codec can't decode byte 0xe6 in position ...
谷歌开源 ClusterFuzz，自动化查找并修复 bug
开发四年只会写业务代码,分布式高并发都不会还做程序员? >>> 近日,谷歌开源了一个模糊测试基础设施--ClusterFuzz,可以非常简单地自动化查找并修复程序中的 bug. ...
Wapiti一款小巧的开源安全测试漏洞检测工具
Wapiti 是一套 OpenSource 的站点漏洞检测工具,比较特殊的是,它并不依赖特征数据库,也因此扫描的速度相当快,而探测的则是一些共通性问题,或是作者所宣称的未知漏洞.Wapiti 其实是一 ...
python代码风格检查工具──pylint
pylint是一个python代码检查工具,可以帮助python程序员方便地检查程序代码的语法和风格,通过这个工具,可以使你的python代码尽量保持完美,哈哈. 具体可以检查什么东西呢? 比如你写了 ...
Python代码质量：工具和最佳实践
In this article, we'll identify high-quality Python code and show you how to improve the quality of ...

谷歌开源 Python 代码漏洞查找工具 Atheris

谷歌开源 Python 代码漏洞查找工具 Atheris相关推荐

最新文章

热门文章