ossfuzz

OSS-Fuzz to narzędzie od Google do automatycznego testowania bezpieczeństwa projektów open source. Zapewnia rozproszoną infrastrukturę do ciągłego fuzzing testowania bez konieczności zarządzania własnymi serwerami. Otrzymujesz raporty pokrycia kodu, śledzenie błędów i możliwość testowania lokalnie przed wysłaniem projektu. Jeśli Twój projekt spełnia kryteria, możesz go zarejestrować w publicznym OSS-Fuzz, lub uruchomić własną instancję dla projektów prywatnych.

1. Przygotuj projekt open source do fuzzing testowania, tworząc plik project.yaml zawierający metadane projektu wymagane przez OSS-Fuzz, oraz Dockerfile definiujący zależności budowania i kompilatory dla Twojego środowiska.

2. Napisz skrypt build.sh, który buduje harness'y fuzzing dla Twojego projektu — ten skrypt będzie uruchamiany przez infrastrukturę OSS-Fuzz do kompilacji testów.

3. Użyj helper.py, czyli dostarczonego skryptu CLI, do lokalnego budowania obrazów Docker, kompilowania fuzzer'ów i uruchamiania harness'ów na swojej maszynie przed wysłaniem projektu.

4. Sprawdź Criticality Score Twojego projektu — OSS-Fuzz używa tej metryki do oceny, czy projekt spełnia wymagania do przyjęcia do publicznego programu.

5. Jeśli projekt zostanie zaakceptowany, OSS-Fuzz będzie automatycznie uruchamiać fuzzing testowanie na rozproszonej infrastrukturze, generować raporty pokrycia kodu i śledzić znalezione błędy bezpieczeństwa.

6. Dla projektów prywatnych lub tych, które nie spełniają kryteriów publicznego OSS-Fuzz, możesz uruchomić własną instancję narzędzia, korzystając z jego otwartego kodu źródłowego.