# 编写模糊测试工具模糊测试工具是入口点函数，它从模糊器接收随机数据并将其路由到被测系统 (SUT)。线束的质量直接决定了执行哪些代码路径以及是否发现关键错误。编写不当的线束可能会错过整个子系统或产生不可重现的崩溃。 ## 概述该工具是模糊器的随机字节生成和应用程序 API 之间的桥梁。它必须将原始字节解析为有意义的输入，调用目标函数，并优雅地处理边缘情况。任何模糊测试设置中最重要的部分是工具——如果编写得不好，应用程序的关键部分可能无法覆盖。 ### 关键概念概念 |描述 ---|--- **安全带** |接收模糊器输入并调用被测目标代码的函数 **SUT** |被测系统——被模糊测试的代码 **入口点** |模糊器所需的函数签名（例如“LLVMFuzzerTestOneInput”） **模糊数据提供者** |用于从原始字节中结构化提取类型化数据的帮助程序类 **决定论** |确保相同输入始终产生相同行为的属性 **交错模糊测试** |根据输入执行多种操作的单一线束 ## 何时申请 **在以下情况下应用此技术：** * 首次创建新的模糊目标 * Fuzz 活动的代码覆盖率较低或未发现错误 * 模糊测试期间发现的崩溃是不可重现的 * 目标 API 需要复杂或结构化的输入 * 多个相关功能应一起测试 **在以下情况下跳过此技术：** * 使用项目中现有的经过良好测试的线束 * 工具提供自动线束生成功能，满足您的需求 * Target已经拥有全面的模糊测试基础设施 ## 快速参考任务|图案 ---|--- 最小的 C++ 工具 | `extern "C" int LLVMFuzzerTestOneInput(const uint8_t* 数据，size_t 大小)` 最小生锈线束 | `模糊目标！( 尺寸验证 | `如果（大小< MIN_SIZE）返回0；` 转换为整数 | `uint32_t val = *(uint32_t*)(数据);` 使用 FuzzedDataProvider | `FuzzedDataProvider fuzzed_data（数据，大小）；` 提取类型数据 (C++) | `auto val = fuzzed_data.ConsumeIntegral();` 提取字符串 (C++) | `auto str = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF);` ## 一步一步 ### 第 1 步：确定切入点在代码库中查找以下函数： * 接受外部输入（解析器、验证器、协议处理程序） * 解析复杂数据格式（JSON、XML、二进制协议） * 执行安全关键操作（身份验证、加密） * 具有高圈复杂度或多个分支好的目标通常是： * 协议解析器 * 文件格式解析器 * 序列化/反序列化函数 * 输入验证例程 ### 第 2 步：编写最小线束从调用目标函数的最简单的工具开始： **C/C++：** extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { 目标函数（数据，大小）；返回0； } **生锈：** #![no_main] 使用 libfuzzer_sys::fuzz_target； fuzz_target!(|数据：&[u8]| { 目标函数（数据）； }); ### 步骤 3：添加输入验证拒绝太小或太大而没有意义的输入： extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 确保有意义的输入的最小大小 if (尺寸 < MIN_INPUT_SIZE || 尺寸 > MAX_INPUT_SIZE) { 返回0； } 目标函数（数据，大小）；返回0； } **基本原理：** 模糊器生成所有大小的随机输入。您的线束必须处理空的、微小的、巨大的或格式错误的输入，而不会导致线束本身出现意外问题（SUT 中的崩溃是正常的 - 这就是我们正在寻找的）。 ### 步骤 4：构建输入对于需要类型化数据（整数、字符串等）的 API，请使用强制转换或“FuzzedDataProvider”等帮助器： **简单铸造：** extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { 如果（大小！= 2 * sizeof（uint32_t））{ 返回0； } uint32_t 分子 = *(uint32_t*)(数据); uint32_t 分母 = *(uint32_t*)(data + sizeof(uint32_t)); 除（分子，分母）；返回0； } **使用模糊数据提供者：** #include“FuzzedDataProvider.h” extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { FuzzedDataProvider fuzzed_data（数据，大小）； size_t Allocation_size = fuzzed_data.ConsumeIntegral(); std::vector str1 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); std::vector str2 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); concat(&str1[0], str1.size(), &str2[0], str2.size(), Allocation_size); 返回0； } ### 步骤 5：测试和迭代运行模糊器并监控： * 代码覆盖率（是否到达了所有有趣的路径？） * 每秒执行次数（足够快吗？） * 崩溃重现性（您可以使用保存的输入重现崩溃吗？）迭代工具以改进这些指标。 ## 常见模式 ### 模式：超越字节数组——转换为整数 **用例：** 当目标需要整数或浮点数等基本类型时 **实施：** extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 确保恰好是 2 个 4 字节数字如果（大小！= 2 * sizeof（uint32_t））{ 返回0； } // 将输入分割成两个整数 uint32_t 分子 = *(uint32_t*)(数据); uint32_t 分母 = *(uint32_t*)(data + sizeof(uint32_t)); 除（分子，分母）；返回0； } **铁锈等效物：** fuzz_target!(|数据：&[u8]| { if data.len() != 2 * std::mem::size_of::() { 返回； } 让分子 = i32::from_ne_bytes([数据[0], 数据[1], 数据[2], 数据[3]]); 让分母 = i32::from_ne_bytes([data[4], data[5], data[6], data[7]]); 除（分子，分母）； }); **为什么有效：** 任何 8 字节输入都是有效的。模糊器了解到输入必须恰好是 8 个字节，并且每一位翻转都会产生一个新的、可能有趣的输入。 ### 模式：用于复杂输入的 FuzzedDataProvider **用例：** 当目标需要多个字符串、整数或可变长度数据时 **实施：** #include“FuzzedDataProvider.h” extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { FuzzedDataProvider fuzzed_data（数据，大小）； // 提取不同类型的数据 size_t Allocation_size = fuzzed_data.ConsumeIntegral(); // 使用带有终止符的可变长度字符串 std::vector str1 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); std::vector str2 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); char* 结果 = concat(&str1[0], str1.size(), &str2[0], str2.size(), Allocation_size); 如果（结果！= NULL）{ 免费（结果）； } 返回0； } **为什么有帮助：** `FuzzedDataProvider` 处理从字节流中提取结构化数据的复杂性。它对于需要多个不同类型参数的 API 特别有用。 ### 模式：交错模糊测试 **用例：** 当应在单个线束中测试多个相关操作时 **实施：** extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { if (大小 < 1 + 2 * sizeof(int32_t)) { 返回0； } // 第一个字节选择操作 uint8_t模式=数据[0]； // 接下来的字节是操作数 int32_t 数字[2]； memcpy(数字, 数据 + 1, 2 * sizeof(int32_t)); int32_t 结果 = 0; 开关（模式％4）{ 案例0：结果 = add(数字[0], 数字[1]); 休息; 案例1：结果 = 减法(数字[0], 数字[1]); 休息; 案例2：结果 = 乘法(数字[0], 数字[1]); 休息; 案例3：结果 = 除(数字[0], 数字[1]); 休息; } // 防止编译器优化调用 printf("%d", 结果); 返回0； } **优点：** * 编写一个线束比编写多个单独的线束更快 * 单一共享语料库意味着一项操作的有趣输入可能对其他操作也感兴趣 * 能够发现操作之间交互的bug **何时使用：** * 操作共享相似的输入类型 * 操作在逻辑上相关（例如算术运算、CRUD 操作） * 单一语料库对所有操作都有意义 ### 模式：任意的结构感知模糊测试（Rust） **用例：** 当模糊测试使用自定义结构的 Rust 代码时 **实施：** 使用任意::任意； #[导出（调试，任意）] pub 结构名称 { 数据：字符串 } 实现名称 { pub fn check_buf(&self) { 让数据 = self.data.as_bytes(); if data.len() > 0 && data[0] == b'a' { if data.len() > 1 && data[1] == b'b' { if data.len() > 2 && data[2] == b'c' { 进程::中止(); } } } } } **任意利用：** #![no_main] 使用 libfuzzer_sys::fuzz_target； fuzz_target!(|数据: your_project::Name| { data.check_buf(); }); **添加到 Cargo.toml：** [依赖项] 任意= {版本=“1”，功能=[“派生”]} **为什么有帮助：** “任意”包自动处理将原始字节反序列化为 Rust 结构，减少样板文件并确保有效的结构构造。 **限制：** 任意包不提供反向序列化，因此您无法手动构造映射到特定结构的字节数组。从空语料库开始时效果最佳（对于 libFuzzer 没问题，对于 AFL++ 则有问题）。 ## 高级用法 ### 提示和技巧提示 |为什么它有帮助 ---|--- **从解析器开始** |错误密度高、入口点清晰、易于利用 **模拟 I/O 操作** |防止因阻塞 I/O 而挂起，实现确定性 **使用 FuzzedDataProvider** |简化从原始字节中提取结构化数据的过程 **重置全局状态** |确保每次迭代都是独立且可重复的 **线束中的免费资源** |防止长时间活动期间内存耗尽 **避免登录线束** |日志记录速度很慢——模糊测试需要 100 到 1000 秒执行/秒 **首先手动测试工具** |在开始活动之前使用已知输入运行线束 **尽早检查承保范围** |确保线束达到预期的代码路径 ### 使用 Protocol Buffers 进行结构感知模糊测试对于高度结构化的输入格式，请考虑使用 Protocol Buffers 作为具有自定义变异器的中间格式： // 在 .proto 文件中定义输入格式 // 使用 libprotobuf-mutator 生成有效的突变 // 这确保模糊器改变消息内容，而不是 protobuf 编码本身这种方法需要更多的设置，但可以防止模糊器在无法解析的输入上浪费时间。有关详细信息，请参阅结构感知模糊测试文档。 ### 处理非确定性 **问题：** 随机值或时间依赖性会导致不可重现的崩溃。 **解决方案：** * 将 `rand()` 替换为从模糊器输入中播种的确定性 PRNG： uint32_t 种子 = fuzzed_data.ConsumeIntegral(); srand（种子）； * 返回时间、PID 或随机数据的模拟系统调用 * 避免从 `/dev/random` 或 `/dev/urandom` 读取 ### 重置全局状态如果您的 SUT 使用全局状态（单例、静态变量），请在迭代之间重置它： extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 在每次迭代之前重置全局状态全局重置（）；目标函数（数据，大小）； // 清理资源全局清理（）；返回0； } **基本原理：** 全局状态可能会在 N 次迭代后而不是在特定输入上导致崩溃，从而导致错误不可重现。 ## 实用安全带规则遵循以下规则以确保有效的模糊测试：规则|基本原理 ---|--- **处理所有输入尺寸** |模糊器生成空的、微小的、巨大的输入——harness 必须妥善处理 **永远不要调用`exit()`** |调用“exit()”会停止模糊器进程。如果需要，在 SUT 中使用 `abort()` **加入所有线程** |每次迭代必须在下一次迭代开始之前运行完成 **快点** |目标是每秒执行 100 到 1000 次。避免日志记录、高复杂性、多余内存 **维持决定论** |为了可重复性，相同的输入必须始终产生相同的行为 **避免全局状态** |全局状态降低了再现性——如果不可避免，则在迭代之间重置 **使用狭窄的目标** |不要在同一线束中对 PNG 和 TCP 进行模糊测试 - 不同的格式需要单独的目标 **免费资源** |防止长时间活动期间内存泄漏导致资源耗尽 **注意：** 这些准则不仅适用于线束代码，而且适用于整个 SUT。如果 SUT 违反了这些规则，请考虑对其进行修补（请参阅模糊障碍技术）。 ## 反模式反模式 |问题 |正确的做法 ---|---|--- **无需重置的全局状态** |非确定性崩溃 |在线束开始时重置所有全局变量 **阻止 I/O 或网络调用** |模糊器挂起，浪费时间 |模拟 I/O，使用内存缓冲区 **线束中的内存泄漏** |资源耗尽导致竞选失败返回前释放所有分配 **在 SUT 中调用 `exit()` ** |停止整个模糊测试过程 |使用 `abort()` 或返回错误代码 **线束中的大量日志记录** |将 exec/sec 减少几个数量级 |在模糊测试期间禁用日志记录 **每次迭代操作太多** |减慢模糊器速度 |保持迭代快速且专注 **混合不相关的输入格式** |语料库条目无法跨格式使用 |不同格式的单独线束 **不验证输入大小** |线束在边缘情况下发生碰撞 |访问“数据”之前检查“大小” ## 工具特定指南 ### libFuzzer **安全带签名：** extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 这里是你的代码返回0； // 非零返回保留供将来使用 } **编译：** clang++ -fsanitize=fuzzer,地址 -gharness.cc -o fuzz_target **整合技巧：** * 使用`FuzzedDataProvider.h`进行结构化输入提取 * 使用 `-fsanitize=fuzzer` 编译以链接模糊测试运行时 * 添加清理程序（`-fsanitize=address,undefined`）以检测更多错误 * 当崩溃发生时使用 `-g` 以获得更好的堆栈跟踪 * libFuzzer 可以从空语料库开始——无需种子输入 **运行：** ./fuzz_target corpus_dir/ **资源：** * [FuzzedDataProvider 标头]() * [libFuzzer 文档]() ### AFL++ AFL++ 支持多种线束样式。为了获得最佳性能，请使用持久模式： **持久模式线束：** #include int main(int argc, char **argv) { #ifdef __AFL_HAVE_MANUAL_CONTROL __AFL_INIT(); #endif 无符号字符 buf[MAX_SIZE]; 而（__AFL_LOOP（10000））{ // 从标准输入读取输入 ssize_t len = 读取(0, buf, sizeof(buf)); if (len <= 0) 中断； // 调用目标函数目标函数（buf，len）； } 返回0； } **编译：** afl-clang-fast++ -gharness.cc -o fuzz_target **整合技巧：** * 使用持久模式 (`__AFL_LOOP`) 实现 10-100 倍加速 * 考虑延迟初始化（`__AFL_INIT()`）来跳过设置开销 * AFL++ 需要在语料库目录中至少输入一个种子 * 使用 `AFL_USE_ASAN=1` 或 `AFL_USE_UBSAN=1` 进行消毒剂构建 **运行：** afl-fuzz -i 种子/ -o 结果/ -- ./fuzz_target ### 货物绒毛（Rust） **安全带签名：** #![no_main] 使用 libfuzzer_sys::fuzz_target； fuzz_target!(|数据：&[u8]| { // 这里是你的代码 }); **使用结构化输入（任意板条箱）：** #![no_main] 使用 libfuzzer_sys::fuzz_target； fuzz_target!(|数据：YourStruct| { 数据.检查(); }); **创建线束：** 货物模糊初始化货物模糊添加 my_target **整合技巧：** * 使用“任意”包进行自动结构反序列化 * Cargo-Fuzz 包装了 libFuzzer，因此所有 libFuzzer 功能都可以工作 *通过cargo-fuzz自动编译消毒剂 * 线束进入 `fuzz/fuzz_targets/` 目录 **运行：** 货物+夜间模糊运行my_target **资源：** * [cargo-fuzz 文档]() * [任意板条箱]() ### 模糊测试 **安全带签名：** // +构建 gofuzz 打包我的包 func Fuzz(data []byte) int { // 调用目标函数目标（数据） // 返回码： // 如果输入无效则为 -1 // 如果输入有效但不感兴趣，则为 0 // 1 如果输入是有趣的（例如，添加了新的覆盖范围）返回0 } **建筑物：** 模糊构建 **整合技巧：** * 对于增加覆盖范围的输入返回 1（可选 - 模糊器可以自动检测） * 对于无效输入返回 -1 以降低相似突变的优先级 * go-fuzz 自动处理持久性 **运行：** go-fuzz -bin=./mypackage-fuzz.zip -workdir=fuzz ## 故障排除问题 |原因 |解决方案 ---|---|--- **低执行/秒** | Harness 太慢（日志记录、I/O、复杂性）|分析线束、消除瓶颈、模拟 I/O **未发现崩溃** |覆盖范围未达到有缺陷的代码 |检查覆盖范围，改进线束以到达更多路径 **不可重现的崩溃** |非决定论或全球国家|消除随机性，在迭代之间重置全局变量 **模糊器立即退出** | Harness 调用 `exit()` |将 `exit()` 替换为 `abort()` 或返回错误 **内存不足错误** |线束或 SUT 中的内存泄漏 |免费分配，使用泄漏消毒剂查找泄漏 **空输入时崩溃** |安全带无法验证尺寸 |添加 `if (size < MIN_SIZE) return 0;` **语料库不增长** |输入过于受限或格式过于严格 |使用 FuzzedDataProvider 或结构感知模糊测试 ## 相关技能 ### 使用此技术的工具技能|如何应用 ---|--- **libfuzzer** |将“LLVMFuzzerTestOneInput”工具签名与 FuzzedDataProvider 结合使用 **aflpp** |支持带有“__AFL_LOOP”的持久模式线束以提高性能 **货物模糊** |使用 Rust 特定的“fuzz_target!”宏与任意 crate 集成 **动脉粥样硬化** | Pythonharness需要字节，调用Python函数 **ossfuzz** |需要特定目录结构中的工具来进行云模糊测试 ### 相关技术技能|关系 ---|--- **覆盖率分析** |衡量线束有效性——您是否达到了目标代码？ **地址消毒剂** |检测工具发现的错误（缓冲区溢出、释放后使用） **模糊词典** |提供令牌以帮助模糊器通过线束中的格式检查 **模糊测试障碍** |当 SUT 违反安全规则（退出、非确定性）时对其进行修补 ## 资源 ### 关键外部资源 **[libFuzzer 中的分割输入 - Google Fuzzing 文档]()** 解释在单个模糊测试工具中处理多个输入参数的技术，包括使用魔术分隔符和 FuzzedDataProvider。 **[使用协议缓冲区进行结构感知模糊测试]()** 使用 protobuf 作为带有自定义变异器的中间格式的高级技术，以确保模糊器改变消息内容而不是格式编码。 **[libFuzzer 文档]()** 官方 LLVM 文档，涵盖线束要求、最佳实践和高级功能。 **[cargo-fuzz Book]()** 使用 Cargo-fuzz 和任意 crate 编写 Rust 模糊测试工具的综合指南。 ### 视频资源 * [有效的文件格式模糊测试]() \- 关于为文件格式解析器编写工具的会议演讲 * [C/C++ 项目的现代模糊测试]() \- 涵盖线束设计模式的教程

驾驭写作

包含技能