Cooper: स्क्रिप्टिंग भाषाओं के बाइंडिंग कोड का सहकारी उत्परिवर्तन के साथ परीक्षण

Cooper स्क्रिप्टिंग भाषाओं के बाइंडिंग कोड का परीक्षण करने के लिए सहकारी उत्परिवर्तन का उपयोग करता है, ताकि मेमोरी-सुरक्षा संबंधी समस्याओं का पता लगाया जा सके। सहकारी उत्परिवर्तन एक साथ स्क्रिप्ट कोड और संबंधित दस्तावेज़ ऑब्जेक्ट्स को संशोधित करता है, ताकि बाइंडिंग कोड के विभिन्न कोड पथों का अन्वेषण किया जा सके। सहकारी उत्परिवर्तन का समर्थन करने के लिए, हम द्वि-आयामी उत्परिवर्तन को निर्देशित करने हेतु स्क्रिप्ट कोड और दस्तावेज़ ऑब्जेक्ट्स के बीच संबंध का अनुमान लगाते हैं। हमने अपने टूल Cooper को तीन लोकप्रिय व्यावसायिक सॉफ़्टवेयर, Adobe Acrobat, Foxit Reader और Microsoft Word पर लागू किया। Cooper ने 134 पहले से अज्ञात बगों का पता लगाया, जिसके परिणामस्वरूप 33 CVE प्रविष्टियाँ और 22K बग बाउंटी प्राप्त हुईं। Cooper के तीन घटक हैं:

• ऑब्जेक्ट क्लस्टरिंग: शुरुआत में, Cooper दिए गए नमूना दस्तावेज़ों को पार्स करके नेटिव ऑब्जेक्ट्स निकालता है। ऑब्जेक्ट खोज स्थान को कम करने के लिए, Cooper उनकी विशेषताओं के आधार पर ऑब्जेक्ट्स को विभिन्न वर्गों में वर्गीकृत करता है।
• संबंध अनुमान: फिर, Cooper ऑब्जेक्ट वर्गों और API समूहों के बीच संबंध का अनुमान लगाता है। विशेष रूप से, यह विभिन्न ऑब्जेक्ट वर्गों और API समूहों को संयोजित करके बड़ी संख्या में दस्तावेज़ तैयार करता है, और एम्बेडेड स्क्रिप्ट्स के निष्पादन परिणामों को रिकॉर्ड करता है। स्क्रिप्ट निष्पादन की सफलता दर और ऑब्जेक्ट वर्गों के वितरण के आधार पर, Cooper API समूहों और ऑब्जेक्ट वर्गों के बीच संबंध का अनुमान लगाता है।
• संबंध-निर्देशित उत्परिवर्तन: अंत में, Cooper अनुमानित संबंध का उपयोग ऑब्जेक्ट चयन, स्क्रिप्ट निर्माण और ऑब्जेक्ट उत्परिवर्तन को निर्देशित करने के लिए करता है। हम कई सहकारी उत्परिवर्तन रणनीतियाँ भी डिज़ाइन करते हैं।

Cooper का अवलोकन नीचे दिए गए चित्र में दर्शाया गया है।

अधिक विवरण के लिए, कृपया 29वें वार्षिक Network and Distributed System Security Symposium () में प्रकाशित देखें।