# AFL++ AFL++ 是原始 AFL 模糊器的一个分支，在保持稳定性的同时提供更好的模糊性能和更高级的功能。相对于 libFuzzer 的一个主要优点是 AFL++ 能够稳定支持在多个内核上运行模糊测试活动，使其成为大规模模糊测试工作的理想选择。 ## 何时使用模糊器|最适合 |复杂性 ---|---|--- 澳大利亚橄榄球联盟++ |多核模糊测试、多样化突变、成熟项目 |中等 libFuzzer |快速设置、单线程、简单的线束 |低自由职业联盟 |定制模糊器、研究、高级用例 |高 **在以下情况下选择 AFL++：** * 您需要多核模糊测试来最大化吞吐量 * 您的项目可以使用 Clang 或 GCC 编译 * 您需要多样化的突变策略和成熟的工具 * libFuzzer 已趋于稳定，您需要更多的覆盖范围 * 您正在对受益于并行执行的生产代码库进行模糊测试 ## 快速入门 extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 使用模糊器提供的数据调用您的代码 check_buf((char*)数据，大小); 返回0； } 编译并运行： # 首先设置 AFL++ 包装器脚本（请参阅安装） ./afl++ docker afl-clang-fast++ -DNO_MAIN=1 -O2 -fsanitize=fuzzerharness.cc main.cc -o fuzz mkdir seeds && echo "aaaa" > seeds/minimal_seed ./afl++ docker afl-fuzz -i seeds -o out -- ./fuzz ## 安装 AFL++ 有许多依赖项，包括 LLVM、Python 和 Rust。我们建议使用当前的 Debian 或 Ubuntu 发行版来使用 AFL++ 进行模糊测试。方法|何时使用 |支持的编译器 ---|---|--- Ubuntu/Debian 存储库 |最近的 Ubuntu，仅基本功能 | Ubuntu 23.10：Clang 14 和 GCC 13Debian 12：Clang 14 和 GCC 12 Docker（来自 Docker Hub）|特定 AFL++ 版本，Apple Silicon 支持 |自 4.35c 起：Clang 19 和 GCC 11 Docker（来自源代码）|测试未发布的功能，应用补丁 |可在 Dockerfile 中配置来源 |避免使用 Docker，需要特定补丁 |可通过“LLVM_CONFIG”环境变量进行调整 ### Ubuntu/Debian 在安装 afl++ 之前，请使用 apt-cache show afl++ 检查 packge 的 clang 版本依赖性，并安装匹配的 lld 版本（例如 lld-17）。易于安装 afl++ lld-17 ### Docker（来自 Docker Hub） docker pull aflplusplus/aflplusplus：稳定 ### Docker（来自源代码） git克隆--深度1--分支稳定https://github.com/AFLplusplus/AFLplusplus cd AFLplusplus 光盘 docker build -t aflplusplus 。 ### 来自来源请参阅 [Dockerfile]() 了解 Ubuntu 版本要求和依赖项。设置 `LLVM_CONFIG` 以指定 Clang 版本（例如，`llvm-config-18`）。 ### 包装脚本设置创建一个包装器脚本以在主机或 Docker 上运行 AFL++：猫 <<'EOF' > ./afl++ #!/bin/sh AFL_VERSION="${AFL_VERSION:-"稳定"}" 案例“$1” 主持人）转变 bash -c“$*” ;; 泊坞窗）转变 /usr/bin/env docker run -ti \ --特权\ -v ./:/src \ --rm \ --名称 afl_fuzzing \ “aflplusplus/aflplusplus：$AFL_VERSION”\ bash -c "cd /src && bash -c \"$*\"" ;; *) echo“用法：$0 {主机|docker}” 1号出口 ;; 埃萨克 EOF chmod +x ./afl++ **安全警告：** `afl-system-config` 和 `afl-persistent-config` 脚本需要 root 权限并禁用操作系统安全功能。不要在生产系统或开发环境上进行模糊测试。请改用专用虚拟机。 ### 系统配置每次重新启动后运行，每秒执行次数最多增加 15%： ./afl++ <主机/docker> afl-系统配置为了获得最佳性能，请禁用内核安全缓解措施（需要 grub 引导加载程序，Docker 不支持）： ./afl++ 主机 afl-持久配置更新grub 重新启动 ./afl++ <主机/docker> afl-系统配置使用 `cat /proc/cmdline` 进行验证 \- 输出应包含 `mitigations=off`。 ## 编写一个工具 ### 线束结构 AFL++ 支持 libFuzzer 风格的工具： #include #include extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 1. 如果需要，验证输入大小 if (尺寸 < MIN_SIZE || 尺寸 > MAX_SIZE) 返回 0; // 2. 使用模糊数据调用目标函数目标函数（数据，大小）； // 3. 返回 0（非零保留供将来使用）返回0； } ### 安全带规则做|不要 ---|--- 在运行之间重置全局状态 |依赖之前运行的状态优雅地处理边缘情况 |输入无效时退出保持线束确定性 |使用随机数生成器释放分配的内存|造成内存泄漏验证输入大小 |处理无限输入 > **另请参阅：** 有关详细的线束编写技术、处理复杂输入的模式以及高级策略，请参阅 **fuzz-harness-writing** 技术技能。 ## 编译 AFL++ 提供了多种具有不同权衡的编译模式。 ### 编译模式决策树选择您的编译模式： * **LTO 模式** (`afl-clang-lto`)：最佳性能和仪器。先试试这个。 * **LLVM 模式** (`afl-clang-fast`)：如果 LTO 编译失败，则回退。 * **GCC 插件** (`afl-gcc-fast`)：适用于需要 GCC 的项目。 ### 基本编译（LLVM模式） ./afl++ <主机/docker> afl-clang-fast++ -DNO_MAIN=1 -O2 -fsanitize=fuzzerharness.cc main.cc -o fuzz ### GCC 编译 ./afl++ <主机/docker> afl-g++-fast -DNO_MAIN=1 -O2 -fsanitize=fuzzerharness.cc main.cc -o fuzz **重要：** GCC 版本必须与用于编译 AFL++ GCC 插件的版本匹配。 ### 带消毒剂 ./afl++ <主机/docker> AFL_USE_ASAN=1 afl-clang-fast++ -DNO_MAIN=1 -O2 -fsanitize=fuzzerharness.cc main.cc -o fuzz > **另请参阅：** 有关详细的 sanitizer 配置、常见问题和高级标志，请参阅 **address-sanitizer** 和 **undefined-behavior-sanitizer** 技术技能。 ### 构建标志请注意，“-g”不是必需的，它是由 AFL++ 编译器默认添加的。旗帜|目的 ---|--- `-DNO_MAIN=1` |使用 libFuzzer 工具时跳过主函数 `-O2` |生产优化级别（建议用于模糊测试） `-fsanitize=模糊器` |启用 libFuzzer 兼容模式并在链接可执行文件时添加模糊器运行时 `-fsanitize=模糊器无链接` |无需链接模糊器运行时的仪器（用于静态库和目标文件） ## 语料库管理 ### 创建初始语料库 AFL++ 需要至少一个非空种子文件： mkdir 种子回声“aaaa”>种子/minimal_seed 对于实际项目，收集有代表性的意见： * 下载您要模糊测试的格式的示例文件 * 从项目的测试套件中提取测试用例 * 对您的文件格式使用最少的有效输入 ### 语料库最小化活动结束后，最小化语料库以仅保留唯一的覆盖范围： ./afl++ <主机/docker> afl-cmin -i out/default/queue -o minimized_corpus -- ./fuzz > **另请参阅：** 对于语料库创建策略、词典和种子选择，请参阅 **模糊语料库** 技术技能。 ## 开展活动 ### 基本运行 ./afl++ <主机/docker> afl-fuzz -i seeds -o out -- ./fuzz ### 设置环境变量 ./afl++ <主机/docker> AFL_FAST_CAL=1 afl-fuzz -i seeds -o out -- ./fuzz ### 解释输出 AFL++ UI 显示实时模糊测试统计数据：输出|含义 ---|--- **执行次数/秒** |执行速度——越高越好 **周期完成** |完成的队列传递次数 **语料库数量** |队列中唯一测试用例的数量 **保存的崩溃** |发现的独特崩溃数量 **稳定性** |稳定边缘的百分比（应接近 100%） ### 输出目录结构输出/默认/ ├── cmdline # SUT是如何被调用的？ ├── crashes/ # 导致 SUT 崩溃的输入 │ └── id:000000,sig:06,src:000002,时间:286,execs:13105,op:havoc,rep:4 ├──hangs/ # 挂起 SUT 的输入 ├──queue/ # 重现最终模糊器状态的测试用例 │ ├── id:000000,时间:0,执行次数:0,orig:minimal_seed │ └── id:000001,src:000000,时间:0,execs:8,op:havoc,rep:6,+cov ├── fuzzer_stats # 活动统计数据 └──plot_data # 绘图数据 ### 分析结果查看实时活动统计数据： ./afl++ <主机/docker> afl-whatsup 输出创建覆盖图： apt安装gnuplot ./afl++ <主机/docker> afl-plot out/default out_graph/ ### 重新执行测试用例 ./afl++ <主机/docker> ./fuzz out/default/crashes/ ### 模糊器选项选项 |目的 ---|--- `-G 4000` |最大测试输入长度（默认：1048576 字节） `-t 1000` |每个测试用例的超时（以毫秒为单位）（默认值：1000ms） `-m 1000` |内存限制（以兆字节为单位）（默认值：0 = 无限制） `-x ./dict.dict` |使用字典文件指导突变 ## 多核模糊测试 AFL++ 擅长多核模糊测试，具有两大优势： 1.每秒执行更多（与物理核心线性扩展） 2. 不对称模糊测试（例如，一份 ASan 工作，不使用消毒剂休息） ### 开始活动启动主模糊器（在后台）： ./afl++ <主机/docker> afl-fuzz -M Primary -i seeds -o state -- ./fuzz 1>primary.log 2>primary.error & 启动辅助模糊器（与核心数量一样多）： ./afl++ <主机/docker> afl-fuzz -S secondary01 -i seeds -o state -- ./fuzz 1> secondary01.log 2> secondary01.error & ./afl++ <主机/docker> afl-fuzz -S secondary02 -i seeds -o state -- ./fuzz 1> secondary02.log 2> secondary02.error & ### 监控多核活动列出所有正在运行的作业：职位查看实时统计数据（每秒更新）： ./afl++ <主机/docker> watch -n1 --color afl-whatsup state/ ### 停止所有模糊器杀死$(工作-p) ## 覆盖率分析 AFL++ 通过边缘检测自动跟踪覆盖范围。覆盖率信息存储在“fuzzer_stats”和“plot_data”中。 ### 测量覆盖范围使用“afl-plot”可视化随时间变化的覆盖范围： ./afl++ <主机/docker> afl-plot out/default out_graph/ ### 提高覆盖范围 * 使用字典进行格式感知模糊测试 * 运行更长的活动（cycles_wo_finds 表示稳定期） * 通过多核模糊测试尝试不同的突变策略 * 分析覆盖范围差距并添加有针对性的种子投入 > **另请参阅：** 有关详细的覆盖率分析技术、识别覆盖率差距和系统性覆盖率改进，请参阅 **覆盖率分析** 技术技能。 ## CMP日志 CMPLOG/RedQueen 是任何模糊器中可用的最佳路径约束求解机制。要启用它，需要对模糊目标进行检测。在构建模糊测试目标之前设置环境变量： ./afl++ <主机/docker> AFL_LLVM_CMPLOG=1 make 编译和链接线束不需要特殊操作。要使用 CMPLOG 检测的模糊测试目标运行模糊器实例，请将“-c0”添加到命令中，如参数： ./afl++ <主机/docker> afl-fuzz -c0 -S cmplog -i seeds -o state -- ./fuzz 1> secondary02.log 2> secondary02.error & ## 消毒剂集成清理程序对于查找不会立即导致崩溃的内存损坏错误至关重要。 ### 地址消毒剂 (ASan) ./afl++ <主机/docker> AFL_USE_ASAN=1 afl-clang-fast++ -DNO_MAIN=1 -O2 -fsanitize=fuzzerharness.cc main.cc -o fuzz **注意：** 由于 20TB 虚拟内存预留，ASan 不支持内存限制 (`-m`)。 ### UndefinedBehaviorSanitizer (UBSan) ./afl++ <主机/docker> AFL_USE_UBSAN=1 afl-clang-fast++ -DNO_MAIN=1 -O2 -fsanitize=fuzzer,未定义harness.cc main.cc -o fuzz ### 常见的消毒剂问题问题 |解决方案 ---|--- ASan 减慢模糊测试速度 |在多核设置中仅使用 1 个 ASan 作业堆栈耗尽 |使用“ASAN_OPTIONS=stack_size=...”增加堆栈 GCC 版本不匹配 |确保系统 GCC 与 AFL++ 插件版本匹配 > **另请参阅：** 有关全面的消毒程序配置和故障排除，请参阅 **地址消毒程序** 技术技能。 ## 高级用法 ### 提示和技巧提示 |为什么它有帮助 ---|--- 尽可能使用 LLVMFuzzerTestOneInput 线束 |如果模糊测试活动具有至少 85% 的稳定性，那么这就是最有效的模糊测试风格。如果没有，则尝试标准输入或文件输入模糊测试使用词典 |帮助模糊器发现特定于格式的关键字和魔术字节设置现实的超时 |防止系统负载误报限制输入大小 |更大的输入不一定会探索更多的空间监控稳定性 |稳定性低表明行为不确定 ### 标准输入模糊测试 AFL++ 可以对从 stdin 读取的程序进行模糊测试，而无需使用 libFuzzer 工具： ./afl++ <主机/docker> afl-clang-fast++ -O2 main_stdin.c -o fuzz_stdin ./afl++ <主机/docker> afl-fuzz -i seeds -o out -- ./fuzz_stdin 这比持久模式慢，但不需要线束代码。 ### 文件输入模糊测试对于读取文件的程序，请使用“@@”占位符： ./afl++ <主机/docker> afl-clang-fast++ -O2 main_file.c -o fuzz_file ./afl++ <主机/docker> afl-fuzz -i seeds -o out -- ./fuzz_file @@ 为了获得更好的性能，请使用“fmemopen”从内存创建文件描述符。 ### 参数模糊测试使用“argv-fuzz-inl.h”模糊命令行参数： #include #include #include <字符串.h> #ifdef __AFL_COMPILER #include“argv-fuzz-inl.h” #endif 无效 check_buf(char *buf, size_t buf_len) { if(buf_len > 0 && buf[0] == 'a') { if(buf_len > 1 && buf[1] == 'b') { if(buf_len > 2 && buf[2] == 'c') { 中止（）； } } } } int main(int argc, char *argv[]) { #ifdef __AFL_COMPILER AFL_INIT_ARGV(); #endif if (argc < 2) { fprintf(stderr, "用法: %s \n", argv[0]); 返回1； } char *input_buf = argv[1]; size_t len = strlen(input_buf); check_buf(input_buf, len); 返回0； } 下载标题：卷曲-O https://raw.githubusercontent.com/AFLplusplus/AFLplusplus/stable/utils/argv_fuzzing/argv-fuzz-inl.h 编译并运行： ./afl++ <主机/docker> afl-clang-fast++ -O2 main_arg.c -o fuzz_arg ./afl++ <主机/docker> afl-fuzz -i seeds -o out -- ./fuzz_arg ### 性能调整设置|影响 ---|--- CPU 核心数 |使用物理核心进行线性扩展持久模式 |比 fork 服务器快 10-20 倍 `-G` 输入大小限制 |更小=更快，但可能会错过错误阿桑比|每 4-8 个非 ASan 职位 1 个 ASan 职位 ## 故障排除问题 |原因 |解决方案 ---|---|--- 低执行/秒 (<1k) |不使用持久模式|创建 LLVMFuzzerTestOneInput 样式线束稳定性低（<85%）|非确定性代码 |通过标准输入或文件输入模糊程序，或创建这样的工具 GCC 插件错误 | GCC 版本不匹配 |确保系统 GCC 匹配 AFL++ 构建并安装 gcc-$GCC_VERSION-plugin-dev 没有发现崩溃|需要消毒液|使用“AFL_USE_ASAN=1”重新编译超出内存限制 | ASan 使用 20TB 虚拟 |使用 ASan 时删除“-m”标志 Docker性能损失|虚拟化开销|使用裸机或虚拟机进行生产模糊测试 ## 相关技能 ### 技术技能技能|使用案例 ---|--- **模糊线束写作** |有关编写有效线束的详细指导 **地址消毒剂** |模糊测试期间的内存错误检测 **未定义行为消毒剂** |检测未定义的行为错误 **模糊语料库** |建立和管理种子语料库 **模糊词典** |为格式感知模糊测试创建字典 ### 相关模糊器技能|何时考虑 ---|--- **libfuzzer** |快速原型设计，单线程模糊测试就足够了 **libafl** |需要定制突变器或研究级功能 ## 资源 ### 关键外部资源 **[AFL++ GitHub 存储库]()** 官方存储库，包含全面的文档、示例和问题跟踪器。 **[深度模糊测试]()** AFL++ 团队提供的高级文档，涵盖检测模式、优化技术和高级用例。 **[AFL++ 幕后]()** 技术深入探讨 AFL++ 内部结构、变异策略和覆盖跟踪机制。 **[AFL++：结合模糊测试研究的增量步骤]()** 研究论文描述了 AFL++ 架构以及相对于原始 AFL 的性能改进。 ### 视频资源 * [模糊化 cURL]() \- Trail of Bits 博客文章，介绍对 cURL 使用 AFL++ 参数模糊化 * [Sudo 漏洞演练]() \- LiveOverflow 系列重新发现 CVE-2021-3156 * [重新发现 libpng bug]() \- 有关查找 CVE-2023-4863 的 LiveOverflow 视频

AFLP

包含技能