作者 | Steef-Jan Wiggers

譯者 | 馬可薇

WhatsApp 的工程團(tuán)隊(duì)將其媒體處理庫從 C++ 重寫為 Rust，將代碼規(guī)模從 16 萬行減少至 9 萬行，同時(shí)引入了內(nèi)存安全保護(hù)機(jī)制。該庫運(yùn)行在數(shù)十億臺(tái)設(shè)備上，包括 Android 手機(jī)、iPhone、桌面設(shè)備、智能手表以及網(wǎng)頁瀏覽器，這使其成為迄今為止規(guī)模最大的客戶端 Rust 代碼部署之一。

這一工作可以追溯到 2015 年的 Stagefright 漏洞事件。當(dāng)時(shí)人們發(fā)現(xiàn)攻擊者可以將惡意軟件隱藏在看似正常的圖片或視頻文件中。這些惡意文件利用了 Android 媒體庫中的漏洞，而像 WhatsApp 這樣的應(yīng)用無法直接修補(bǔ)底層操作系統(tǒng)。那時(shí)，WhatsApp 使用一個(gè)名為 “wamedia” 的 C++ 庫，在發(fā)送前對(duì) MP4 文件進(jìn)行合規(guī)性檢查。公司意識(shí)到，這段代碼處理的是來自潛在惡意來源的非可信數(shù)據(jù)，因此非常適合使用內(nèi)存安全語言進(jìn)行重寫。

Meta 工程博客 – 安全與隱私專欄

盡管 Meta 此次部署在規(guī)模上前所未有，但其策略并非沒有先例。Mozilla 的首席工程師 Andrew Lilley Brinker 在 Bluesky 上 提到：

很多人知道 Mozilla 在 Rust 早期發(fā)展階段提供了大量資助，但可能不知道，F(xiàn)irefox 第一個(gè)上線的 Rust 組件其實(shí)是 2016 年的一個(gè) MP4 解析器！

這同樣是對(duì) Stagefright 時(shí)代所揭示問題的回應(yīng)——即當(dāng) C++ 媒體處理代碼在解析非可信二進(jìn)制數(shù)據(jù)時(shí)，存在固有的安全風(fēng)險(xiǎn)。

WhatsApp 并沒有采用漸進(jìn)式替換方式，而是同時(shí)構(gòu)建了完整的 Rust 版本與原 C++ 版本并行運(yùn)行。團(tuán)隊(duì)通過差分模糊測(cè)試以及大量集成測(cè)試，驗(yàn)證兩個(gè)版本之間的兼容性，然后才完成遷移。WhatsApp 軟件工程師 Daniel Sommermann 和 Baojun Wang 表示，這種策略不僅帶來了性能提升，還降低了內(nèi)存使用量。

不過，二進(jìn)制文件大小成為一個(gè)現(xiàn)實(shí)問題。博客文章提到，Rust 標(biāo)準(zhǔn)庫最初增加了文件體積，但并未詳細(xì)說明解決方案。在 Hacker News 的 討論 中，WhatsApp 工程師 Daniel Sommermann 解釋道：

“我們?cè)跇?gòu)建系統(tǒng)優(yōu)化方面投入了大量工作，隨著時(shí)間推移逐步將體積壓縮下來。雖然一開始確實(shí)接受了大約 200 KiB 的標(biāo)準(zhǔn)庫體積開銷。”團(tuán)隊(duì)將構(gòu)建系統(tǒng)從 Gradle、CMake 和 Cargo 遷移到 Buck2。Sommermann 表示，Buck2 “在縮小體積方面幫助巨大，比如改進(jìn)了 LTO（鏈接時(shí)優(yōu)化）并使用了最新的 clang 工具鏈優(yōu)化?！?/p>

該媒體庫已經(jīng)不僅僅用于基礎(chǔ)格式校驗(yàn)。WhatsApp 將這一擴(kuò)展系統(tǒng)命名為 “Kaleidoscope”。它會(huì)檢測(cè)可疑模式，例如：嵌入文件或腳本的 PDF、文件擴(kuò)展名與實(shí)際內(nèi)容不匹配的文件、偽裝成圖片的可執(zhí)行文件等。一旦發(fā)現(xiàn)風(fēng)險(xiǎn)內(nèi)容，系統(tǒng)會(huì)在用戶界面中發(fā)出警告。這些檢測(cè)無法攔截所有攻擊，但能夠阻擋許多常見的利用技術(shù)。

Meta 表示，這是他們所知規(guī)模最大的 Rust 庫面向終端用戶設(shè)備的部署。每個(gè)月，這段代碼都會(huì)通過 WhatsApp、Messenger 和 Instagram 推送到數(shù)十億臺(tái)設(shè)備，包括手機(jī)、筆記本電腦、桌面設(shè)備、智能手表和各種操作系統(tǒng)上的瀏覽器。

在 Hacker News 的討論中，還有人 探討 了技術(shù)細(xì)節(jié)。例如，用戶 Cong-or 指出二進(jìn)制體積的重要性：

在服務(wù)器環(huán)境中，Rust 標(biāo)準(zhǔn)庫帶來的開銷通常不算什么，但當(dāng)你要向數(shù)十億臺(tái)移動(dòng)設(shè)備發(fā)布軟件時(shí)，每一個(gè) KB 都至關(guān)重要。很高興看到他們投入資源優(yōu)化構(gòu)建工具，而不是簡(jiǎn)單接受體積膨脹。

另一位用戶 storystarling 則強(qiáng)調(diào)測(cè)試難度：

這種重寫工作最難的部分通常不是 Rust 實(shí)現(xiàn)本身，而是要保持與舊版解析器在行為上的‘bug 級(jí)兼容’。

WhatsApp 的安全策略分為三條路徑：盡可能減少攻擊面；對(duì)仍然使用的 C 和 C++ 代碼加強(qiáng)保護(hù)（如控制流完整性與強(qiáng)化內(nèi)存分配器）；對(duì)于新代碼優(yōu)先使用內(nèi)存安全語言。使用 C/C++ 的開發(fā)者需要接受專門的安全培訓(xùn)，其代碼會(huì)經(jīng)過自動(dòng)化分析工具審查，公司對(duì)發(fā)現(xiàn)的問題設(shè)有嚴(yán)格的修復(fù)期限。

Meta 的安全團(tuán)隊(duì)正在推動(dòng)公司內(nèi)部更多團(tuán)隊(duì)采用 Rust，并預(yù)計(jì)未來幾年采用速度將加快。這一趨勢(shì)也反映了整個(gè)行業(yè)的發(fā)展方向。谷歌在 2025 年 11 月的安全博客中 表示，Android 中 Rust 代碼的引入，使內(nèi)存安全漏洞占比從 2019 年的 76% 降至 2025 年底的不足 20%，公司將這一變化直接歸因于用 Rust 替代新代碼中的 C 和 C++。Chrome 已經(jīng)在 字體渲染和圖像解碼 模塊中使用 Rust 庫，而 Microsoft 自 2023 年起也開始用 Rust 重寫 部分 Windows 組件。

https://www.infoq.com/news/2026/02/whatsapp-rust-media-malware/

聲明：本文為 InfoQ 翻譯，未經(jīng)許可禁止轉(zhuǎn)載。