💻 computer science

RustGo: Fairly Directed Greybox Fuzzing for Enforcing Rust Memory Safety

RustGo 是一种新型的有向灰盒模糊测试器，它利用 Rust 特有的静态分析来自动识别潜在的内存错误目标并剪枝无关的执行路径，从而与现有方法相比，显著提高了模糊测试效率，并发现了 unsafe Rust 代码中未知的漏洞。

原作者： Dongyeon Yu (Korea University), Jiun Min (Korea University), Yewan Na (Ulsan National Institute of Science and Technology), Mijung Kim (Ulsan National Institute of Science and Technology), Taegyu Kim

发布于 2026-08-07

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Dongyeon Yu (Korea University), Jiun Min (Korea University), Yewan Na (Ulsan National Institute of Science and Technology), Mijung Kim (Ulsan National Institute of Science and Technology), Taegyu Kim (The Pennsylvania State University), Yuseok Jeon (Korea University)

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你是一名侦探，试图在一座巨大且繁忙的城市中寻找一个微小的瑕疵。在计算机软件的世界里，这座城市就是一个程序，而这个瑕疵就是“内存漏洞（memory bug）”——即程序尝试获取、使用或丢弃它不该触碰的数据，从而导致崩溃或被黑客攻击。几十年来，寻找这些漏洞最流行的方法是“模糊测试（fuzzing）”。你可以把模糊测试想象成向城市围墙投掷数百万个随机且混乱的雪球，看看是否会有雪球砸碎窗户。通常情况下，这种方法对于旧语言非常有效，但它有一个致命缺陷：效率极低。你可能需要向坚固无比、无法攻破的正门投掷 99 个雪球，才能找到后巷里那个唯一的弱点窗口。

于是，Rust 登场了。这是一种现代编程语言，它扮演着一名极其严格的保安角色。Rust 的规则如此出色，以至于它构建的 90% 的城市几乎是防弹的；保安确保大多数“窗口”（内存区域）默认都是锁死的。然而，为了构建某些复杂的组件，Rust 允许开发者打开一个小型的特殊闸门，称为“不安全代码（unsafe code）”。这是唯一规则被放宽的地方，也是内存漏洞唯一可能藏身之处。问题在于，现有的“投掷雪球”工具并不知道这一点。它们仍然在向城市中那 90% 已经安全的区域投掷雪球，白白浪费时间和精力，而错过了那个特殊闸门后极少数危险的角落。这篇论文介绍了一种名为 RustGo 的新侦探工具，它改变了游戏规则，因为它知道该往哪里投掷雪球。

智能侦探：RustGo

这项研究背后的研究人员（来自高丽大学及其他机构的一个团队）意识到，向 Rust 程序随机投掷雪球就像是通过焚烧整个干草堆来寻找其中的一根针。由于 Rust 保证了其大部分代码的安全，他们提出了疑问：为什么还要测试那些安全的部分？ 他们开发了 RustGo，一种“定向灰盒模糊测试工具（directed greybox fuzzer）”，它更像是一个拿着地图和放大镜的侦探，而不是一个蒙着眼睛扔石头的盲人。

RustGo 通过三个巧妙的步骤高效地追踪漏洞：

1. 寻找正确的目标（地图）
首先，RustGo 会扫描代码以寻找可能隐藏漏洞的“不安全（unsafe）”区域。但它并不只是瞎猜。它使用一种特殊的分析方法来观察数据如何在程序中流动。想象一下，城市有很多小巷，但有些小巷通向死胡同或者在现实中永远不会发生的循环。RustGo 会过滤掉这些路径。它识别出可能触发内存漏洞的具体位置，并将相似的位置合并在一起。如果代码中的两条不同路径会导致完全相同的危险结果，Rust-Go 会将它们视为同一个目标，这样它就不会在重复检查相同内容上浪费时间。在测试中，这一步帮助他们减少了约 84% 需要检查的目标数量，使其专注于真正可疑的区域。

2. 切断死路（放大镜）
一旦 RustGo 知道了该看哪里，它就需要忽略城市的其余部分。在旧的模糊测试工具中，城市的“地图”通常包含了标准库（Rust 使用的预建工具），这非常庞大且充满了看似可达实则无法到达的路径。这会让工具感到困惑，导致它们探索无用的区域。RustGo 引入了一种新技巧，称为“针对特定目标的路径剪枝（target-specific path pruning）”。这就像拥有一道神奇的栅栏，能瞬间让任何不通向当前正在调查目标的路径消失。如果侦探正在寻找面包店里的漏洞，那么这道栅栏就会阻断通往图书馆或公园的路径，即使这些路径在技术上确实存在于城市中。这使得 RustGo 能够切除掉其他工具会浪费时间去探索的 78.49% 的无关路径。

3. 公平竞争（轮询策略）
这是最后一个关键的转折。当侦探有多个嫌疑人（目标）需要检查时，旧的工具往往会对最容易到达的那一个产生痴迷，从而忽略了较难到达的那些。RustGo 使用了一个“动态公平切换（dynamic fair toggling）”系统。想象一位裁判，他在不同嫌疑人之间进行完美的轮换，切换侦探的注意力。如果侦探在嫌疑人 A 身上花费了太多时间，裁判会立即将注意力转向嫌人 B，确保每个嫌疑人都得到公平的关注。RustGo 通过为每个目标分配自己的“雪球队列”和用于跟踪进度的“记分卡”来实现这一点。这确保了没有任何危险点会因为稍微难以到达而被遗漏。

结果：更快、更聪明

该团队在 13 个真实的 Rust 应用上测试了 RustGo，范围涵盖从 Web 服务器到数据处理工具。他们将其与包括著名的 AFL++ 在内的多种现有顶级工具以及几种专门的“定向”模糊测试工具进行了对比。结果令人震惊。

由于 RustGo 不再在 90% 的安全代码上浪费时间，而是纯粹专注于那 10% 的危险区域，它发现漏洞的速度比其他工具快了 2.09 到 5.08 倍。在某些情况下，例如 gimli 应用，它的速度提高了 10 倍以上。为了直观理解，如果旧工具需要 10 小时才能找到一个漏洞，RustGo 用不到 1 小时就能找到。

但速度并非唯一的胜利。团队利用 RustGo 在野外（而非仅仅在实验室）寻找漏洞。他们发现了 13 个真实软件中此前未知的内存漏洞。其中，10 个得到了软件开发者的确认，且 8 个已经被修复。更令人印象深刻的是，其中 6 个漏洞被分配了官方安全 ID (RUSTSEC)，并且 其中一个获得了 CVE ID（这是追踪严重安全缺陷的全球标准）。这证明了 RustGo 不仅仅是一个理论上的想法，它是一个已经在让软件变得更安全的实用工具。

为什么这很重要

这篇论文不仅仅是在建议 RustGo 是个好主意，它还通过测量、证明其有效性，并展示了它如何发现他人错过的真实漏洞。它明确反对了旧有的思维方式：即我们必须测试每一行代码才能确保安全。相反，它表明通过理解 Rust 的独特规则，我们可以变得更聪明、更快、更有效。

研究人员还解决了人们的一个普遍担忧：“如果我们忽略了安全部分，会不会错过漏洞？”他们解释说，Rust 的安全规则非常严格，以至于空间内存漏洞（如访问错误的内存地址）在代码的安全部分是绝不可能发生的。因此，忽略它们并不会产生盲点，而只是消除了噪音。对于时间漏洞（在使用完内存后继续使用），RustGo 非常谨慎，确保它不会意外剪掉可能导致漏洞的路径，它采用了一种“保守”的方法，使安全网足够宽，足以捕捉到所有东西。

最后，RustGo 是专业化力量的证明。正如顶级厨师不会用锤子去砸开坚果一样，现代模糊测试工具也不应该对像 Rust 这样先进的语言使用笨拙的工具。通过针对该语言独特的优势和弱点量身定制方法，作者创造了一个不仅更快、而且更公平的工具，确保代码中每一个潜在的危险都能得到应有的关注。

技术摘要：RustGo

问题陈述

Rust 通过严格的编译时策略（所有权、借用、生命周期）保证内存安全性，但在绕过这些策略的 unsafe 区域中，内存漏洞依然存在。虽然 unsafe 代码在典型的 Rust 程序中仅占极小比例（约 10%），但现有的模糊测试方法将整个代码库视为潜在的漏洞来源。这导致了资源分配效率低下，因为模糊测试器会将精力浪费在 Rust 编译器已经保证安全的内存安全区域上。

此外，最初为 C/C++ 设计的现有定向灰盒模糊测试（Directed Greybox Fuzzing, DGF）方案在应用于 Rust 时面临重大挑战：

目标识别： 传统方法依赖于手动选择或简单的标准（例如，消毒剂位置），无法自动识别针对 Rust 独特架构的易发生内存错误的特定目标，例如在安全代码中通过 unsafe 指针进行别名化的原始指针解引用。
路径裁剪： Rust 的标准库是静态链接且单态化的，这创建了一个复杂的统一二进制文件。现有的可达性分析往往过度近似，由于无法有效区分用户代码与标准库逻辑，导致无法裁剪无关路径。
多目标模糊测试中的公平性： 现有的多目标 DGF 通常优先考虑“较近”的目标，从而导致距离较远但存在漏洞的目标出现饥饿现象。共享的模糊测试状态（单一输入队列、单一覆盖率位图）使得在多个不同的目标之间公平分配能量变得困难。

方法论

本文提出了 RustGo，一种 Rust 定向灰盒模糊测试器，旨在自动识别、优化并公平地模糊测试易发生内存错误的区域。RustGo 通过三个核心组件运行：

1. 目标识别与优化

RustGo 采用多阶段静态分析来识别脆弱目标：

MIR 与 LLVM IR 分析： 它在 Mid-level Intermediate Representation (MIR) 层级执行类型匹配分析，以识别在 LLVM IR 中不会保留的原始指针操作。随后，它在 LLVM IR 层级使用基于值流图（Value Flow Graph, VFG）的污点分析来追踪指针传播并识别别名站点。
标准库过滤： 为了避免由单态化标准库的上下文无关分析引起的误报，RustGo 对标准库函数进行标注。它利用过程间控制流图（ICFG）边在跨越库边界时传播污点，而不遍历库内部逻辑，从而有效地过滤掉不可达路径。
后支配优化： 为了减少目标数量并防止模糊测试器退化为通用的覆盖率引导型模糊测试器，RustGo 执行过程间后支配分析。如果目标 $t_i$ 被 $t_j$ 后支配（意味着所有通往 $t_i$ 的路径都必须经过 $t_j$ ），则将 $t_i$ 合并到 $t_j$ 中。这通过将冗余目标整合到代表性位置来减少目标数量。

2. 特定目标的路径裁剪

一旦确定了目标，RustGo 会消除无关路径以最大化模糊测试效率：

调用点重映射： 将位于标准库中的目标重映射到其在用户代码中对应的调用点，以确保精确的可达性分析。
前置条件感知裁剪：
- 对于空间错误（原始指针解引用），不应用裁剪，因为这些错误可以在没有特定前置条件的情况下发生。
- 对于时间错误（例如，Use-After-Free），RustGo 利用污点分析结果来验证路径是否包含必要的内存操作序列（例如，alloc $\to$ free $\to$ dereference）。缺乏这些序列的路径将被裁剪。
- Async/Await 处理： 为了防止在并发代码中出现假阴性，RustGo 对于涉及 async/await 和原始指针别名的函数采取保守策略，不对其进行裁剪。

3. 动态公平切换模糊测试

为了在多个目标之间进行公平测试且互不干扰，RustGo 引入了一种动态切换机制：

多队列与多覆盖率： 与使用单一输入队列和全局覆盖率位图的传统模糊测试器不同，RustGo 为每个目标维护独立的输入队列和覆盖率位图。
动态切换： 模糊测试器以轮询方式在不同目标之间切换。当某个目标处于活跃状态时，系统会更新一个共享的“切换共享内存”（Toggle Shared Memory, TSM），以动态启用仅与该特定目标相关的基本块。这使得模糊测试器能够在保持独立模糊测试状态的同时，实时裁剪当前目标的无关路径，从而确保没有任何目标会被资源饥饿。

核心贡献

RustGo 框架： 一个专门为 Rust 量身定制的定向灰盒模糊测试器，能够利用 Rust 特有的静态分析（MIR/LLVM IR 交叉分析、污点追踪和后支配分析）自动识别并优化易发生内存错误的目标。
特定目标的裁剪： 一种新型裁剪策略，能够处理 Rust 复杂的标准库结构和单态化问题，在消除无关路径方面实现了高精度。
公平的多目标模糊测试： 一种具有多队列和多覆盖率方案的动态切换方法，确保了平衡的能量分配，防止了现有 DGF 中常见的向易达目标倾斜的偏差。
评估与发现： 在真实世界的 Rust 应用及 deepSURF 基准测试（26 个真实漏洞）上的全面评估表明，RustGo 具有显著的性能提升，并发现了 13 个此前未知的内存漏洞。

结果

作者在包含 13 个真实世界 Rust 应用的自定义基准测试和 deepSURF 基准测试（26 个真实漏洞）上对 RustGo 进行了评估。

目标优化： 通过后支配整合，RustGo 平均减少了 84.13% 的初始目标。
路径裁剪： RustGo 每个目标平均裁剪了 78.49% 的无关路径，显著优于基准方法（例如，RG-base 为 51.11%）。
加速比： RustGo 到达目标的速度比现有的 DGF（包括 AFLGo、WindRanger、FishFuzz 和 PanicKiller）快 2.09 倍至 5.08 倍，比覆盖率引导型模糊测试器（AFL、AFL++）快 2.85 倍至 3.45 倍。
漏洞发现： RustGo 在真实世界的 Rust 项目中发现了 13 个此前未知的内存漏洞。其中 10 个已得到确认，8 个已修复，6 个获得了 RUSTSEC ID，1 个获得了 CVE ID。
与模糊测试驱动程序的比较： 与模糊测试驱动生成器（RPG、RUG、deepSURF）相比，RustGo 成功检测到了所有 13 个新漏洞，而生成器由于难以构建复杂的参数类型和执行上下文，未能检测到大部分漏洞。

意义

本文声称 RustGo 解决了将以 C/C++ 为中心的模糊测试策略应用于 Rust 时所面临的关键低效问题。通过利用 Rust 独特的语言特性（所有权、单态化以及安全与不安全代码的区别），RustGo 实现了一个“公平”且“定向”的模糊测试过程，避免了在内存安全代码上的资源浪费。结果表明，针对性的、感知 Rust 的模糊测试不仅更高效，而且在发现深层内存安全漏洞方面比通用的覆盖率引导型模糊测试和现有的定向方法更为有效。发现的 13 个漏洞（包括分配了 CVE 和 RUSTSEC ID 的漏洞）验证了该框架在增强 Rust 生态系统安全性方面的实际应用价值。