# libFuzzer libFuzzer 是一个进程内、覆盖引导的模糊器，是 LLVM 项目的一部分。由于其简单性以及与 LLVM 工具链的集成，它是模糊 C/C++ 项目的推荐起点。虽然 libFuzzer 自 2022 年底以来一直处于仅维护模式，但它比其替代方案更容易安装和使用，拥有广泛的支持，并且将在可预见的未来进行维护。 ## 何时使用模糊器|最适合 |复杂性 ---|---|--- libFuzzer |快速设置、单项目模糊测试 |低澳大利亚橄榄球联盟++ |多核模糊测试，多样化突变 |中等自由职业联盟 |定制模糊器、研究项目 |高红法兹 |基于硬件的覆盖 |中等 **在以下情况下选择 libFuzzer：** * 您需要一个简单、快速的 C/C++ 代码设置 * 项目使用Clang进行编译 * 最初单核模糊测试就足够了 * 可以选择稍后过渡到 AFL++（安全带兼容） **注意：** 为 libFuzzer 编写的模糊测试工具与 AFL++ 兼容，如果您需要更高级的功能（例如更好的多核支持），可以轻松过渡。 ## 快速入门 #include #include extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 如果需要验证输入如果（大小<1）返回0； // 使用模糊器提供的数据调用目标函数 my_target_function（数据，大小）；返回0； } 编译并运行： clang++ -fsanitize=fuzzer,地址 -g -O2harness.cc target.cc -o fuzz mkdir 语料库/ ./模糊语料库/ ## 安装 ### 先决条件 * LLVM/Clang 编译器（包括 libFuzzer） * 用于覆盖率分析的 LLVM 工具（可选） ### Linux (Ubuntu/Debian) apt 安装 clang llvm 对于最新的 LLVM 版本： # 从 apt.llvm.org 添加 LLVM 存储库 # 然后安装特定版本，例如：易于安装 clang-18 llvm-18 ### macOS # 使用自制软件酿造安装llvm # 或者使用 Nix nix-env -i 铿锵 ### 窗口通过 Visual Studio 安装 Clang。请参阅 [Microsoft 文档]() 了解安装说明。 **建议：** 如果可能，在本地 x86_64 VM 上进行模糊测试，或者在 DigitalOcean、AWS 或 Hetzner 上租用一台。 Linux 为 libFuzzer 提供了最好的支持。 ### 验证铿锵++——版本 # 应显示 LLVM 版本信息 ## 编写一个工具 ### 线束结构线束是模糊器的入口点。 libFuzzer 使用不同的输入重复调用“LLVMFuzzerTestOneInput”函数。 #include #include extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { // 1. 可选：验证输入大小如果（大小< MIN_REQUIRED_SIZE）{ 返回0； // 拒绝太小的输入 } // 2. 可选：将原始字节转换为结构化数据 // 示例：从字节数组中解析两个整数 if (大小 >= 2 * sizeof(uint32_t)) { uint32_t a = *(uint32_t*)(数据); uint32_t b = *(uint32_t*)(数据 + sizeof(uint32_t)); 我的函数（a，b）； } // 3. 调用目标函数目标函数（数据，大小）； // 4. 始终返回 0（非零保留供将来使用）返回0； } ### 安全带规则做|不要 ---|--- 处理所有输入类型（空、大、格式错误）|调用 `exit()` \- 停止模糊测试过程返回前加入所有线程 |保持线程运行保持安全带快速、简单 |添加过多的日志记录或复杂性维持决定论|使用随机数生成器或读取 `/dev/random` 在运行之间重置全局状态 |依赖之前执行的状态使用狭窄、集中的目标 |在一根线束中混合不相关的数据格式（PNG + TCP） **理由：** * **速度很重要：** 目标是每个核心每秒执行 100 到 1000 次 * **再现性：** 模糊测试完成后崩溃必须是可再现的 * **隔离：** 每次执行应该是独立的 ### 使用 FuzzedDataProvider 处理复杂输入对于复杂的输入（字符串、多个参数），请使用“FuzzedDataProvider”帮助器： #include #include #include "FuzzedDataProvider.h" // 来自 LLVM 项目 extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { FuzzedDataProvider fuzzed_data（数据，大小）； // 提取结构化数据 size_t Allocation_size = fuzzed_data.ConsumeIntegral(); std::vector str1 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); std::vector str2 = fuzzed_data.ConsumeBytesWithTerminator(32, 0xFF); // 使用提取的数据调用目标 char* 结果 = concat(&str1[0], str1.size(), &str2[0], str2.size(), Allocation_size); 如果（结果！= NULL）{ 免费（结果）； } 返回0； } 从 [LLVM 存储库]() 下载“FuzzedDataProvider.h”。 ### 交错模糊测试使用单个线束测试多个相关功能： extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { if (大小 < 1 + 2 * sizeof(int32_t)) { 返回0； } uint8_t模式=数据[0]； int32_t 数字[2]； memcpy(数字, 数据 + 1, 2 * sizeof(int32_t)); // 根据第一个字节选择函数开关（模式％4）{ 情况 0：添加（数字[0]，数字[1]）；休息; 情况1：减法（数字[0]，数字[1]）；休息; 情况2：乘法（数字[0]，数字[1]）；休息; 情况3：除法（数字[0]，数字[1]）；休息; } 返回0； } > **另请参阅：** 有关详细的工具编写技术、处理复杂输入的模式、结构感知模糊测试和基于 protobuf 的模糊测试，请参阅 **fuzz-harness-writing** 技术技能。 ## 编译 ### 基本编译关键标志是“-fsanitize=fuzzer”，其中： * 链接libFuzzer运行时（提供`main`函数） * 启用 SanitizerCoverage 仪器进行覆盖范围跟踪 * 禁用“memcmp”等内置函数 clang++ -fsanitize=fuzzer -g -O2harness.cc target.cc -o fuzz **标志解释：** * `-fsanitize=fuzzer`: 启用 libFuzzer * `-g`：添加调试符号（有助于崩溃分析） * `-O2`：生产级优化（推荐用于模糊测试） * `-DNO_MAIN`：如果您的代码有`main`函数，则定义宏 ### 带消毒剂 **地址消毒剂（推荐）：** clang++ -fsanitize=模糊器，地址 -g -O2 -U_FORTIFY_SOURCEharness.cc target.cc -o fuzz **多种消毒剂：** clang++ -fsanitize=模糊器，地址，未定义 -g -O2harness.cc target.cc -o fuzz > **另请参阅：** 有关详细的 sanitizer 配置、常见问题、ASAN_OPTIONS 标志和高级 sanitizer 使用情况，请参阅 **address-sanitizer** 和 **undefined-behavior-sanitizer** 技术技能。 ### 构建标志旗帜|目的 ---|--- `-fsanitize=模糊器` |启用 libFuzzer 运行时和检测 `-fsanitize=地址` |启用AddressSanitizer（内存错误检测） `-fsanitize=未定义` |启用 UndefinedBehaviorSanitizer `-fsanitize=模糊器无链接` |不带链接模糊器的仪器（用于库） `-g` |包含调试符号 `-O2` |生产优化水平 `-U_FORTIFY_SOURCE` |禁用防御工事（可能干扰 ASan） ### 构建静态库对于生成静态库的项目： 1. 使用模糊测试工具构建库：导出 CC=clang CFLAGS="-fsanitize=fuzzer-no-link -fsanitize=地址" 导出 CXX=clang++ CXXFLAGS="$CFLAGS" ./configure --enable-shared=否使 2. 将静态库链接到您的线束： clang++ -fsanitize=模糊器 -fsanitize=地址harness.cc libmylib.a -o fuzz ### CMake 集成项目（FuzzTarget） cmake_minimum_required（版本3.0） add_executable(fuzz main.ccharness.cc) target_compile_definitions(fuzz PRIVATE NO_MAIN=1) target_compile_options(fuzz PRIVATE -g -O2 -fsanitize=fuzzer -fsanitize=地址) target_link_libraries（模糊-fsanitize =模糊器-fsanitize =地址）构建： cmake -DCMAKE_C_COMPILER=clang -DCMAKE_CXX_COMPILER=clang++ 。 cmake --build 。 ## 语料库管理 ### 创建初始语料库为语料库创建一个目录（可以从空开始）： mkdir 语料库/ **可选但推荐：** 提供种子输入（有效的示例文件）： # 对于 PNG 解析器： cp 示例/*.png 语料库/ # 对于协议解析器： cp test_packets/*.bin 语料库/ **种子投入的好处：** * 模糊器不是从头开始 * 更快地到达有效的代码路径 * 显着提高效率 ### 语料库结构语料库目录包含： * 触发独特代码路径的输入文件 * 最小化版本（libFuzzer 自动最小化） * 按内容哈希命名（例如，`a9993e364706816aba3e25717850c26c9cd0d89d`） ### 语料库最小化 libFuzzer 在模糊测试期间自动最小化语料库条目。显式最小化： mkdir 最小化_语料库/ ./fuzz-merge=1minimized_corpus/语料库/ 这会在“minimized_corpus/”中创建一个经过重复数据删除的最小化语料库。 > **另请参阅：** 对于语料库创建策略、种子选择、特定格式的语料库构建和语料库维护，请参阅 **模糊语料库** 技术技能。 ## 开展活动 ### 基本运行 ./模糊语料库/ 此操作会一直运行，直到发现崩溃或您将其停止 (Ctrl+C)。 ### 推荐：崩溃后继续 ./fuzz -fork=1 -ignore_crashes=1 语料库/ “-fork”和“-ignore_crashes”标志（实验性但广泛使用）允许在发现崩溃后继续进行模糊测试。 ### 常用选项 **控制输入大小：** ./fuzz-max_len=4000 语料库/ 经验法则：最小实际输入大小的 2 倍。 **设置超时：** ./fuzz-timeout=2 语料库/ 中止运行时间超过 2 秒的测试用例。 **使用字典：** ./fuzz-dict=./format.dict语料库/ **关闭stdout/stderr（加速模糊测试）：** ./fuzz-close_fd_mask=3 语料库/ **查看所有选项：** ./模糊-帮助=1 ### 多核模糊测试 **选项 1：工作和工人（推荐）：** ./fuzz -jobs=4 -workers=4 -fork=1 -ignore_crashes=1 语料库/ * `-jobs=4`：运行 4 个连续的活动 * `-workers=4`: 与 4 个进程并行处理作业 * 测试用例在作业之间共享 **选项2：分叉模式：** ./fuzz -fork=4 -ignore_crashes=1 语料库/ **注意：** 对于严重的多核模糊测试，请考虑切换到 AFL++、Honggfuzz 或 LibAFL。 ### 重新执行测试用例 **重新运行一次崩溃：** ./模糊 ./crash-a9993e364706816aba3e25717850c26c9cd0d89d **测试目录中的所有输入而不进行模糊测试：** ./fuzz-runs=0 语料库/ ### 解释输出当模糊测试运行时，您将看到如下统计信息：信息：种子：3517090860 信息：已加载 1 个模块（9 个内联 8 位计数器） #2 INITED cov: 3 ft: 4 corp: 1/1b exec/s: 0 rss: 26Mb #57 新 cov：4 英尺：5 公司：2/4b lim：4 exec/s：0 rss：26Mb 输出|含义 ---|--- `初始化` |模糊测试已初始化 “新” |发现新的报道，已添加到语料库中 `减少` |在保持覆盖范围的同时最小化输入 `cov：N` |命中的覆盖边缘数 `公司：X/Yb` |语料库大小：X 个条目，Y 总字节 `执行/s：N` |每秒执行次数 `rss：NMB` |常驻内存使用情况 **崩溃时：** ==11672== 错误：libFuzzer：致命信号 artifact_prefix='./';测试单元写入 ./crash-a9993e364706816aba3e25717850c26c9cd0d89d 0x61,0x62,0x63, ABC Base64：YWJj 崩溃将保存到 `./crash-`，输入以十六进制、UTF-8 和 Base64 形式显示。 **再现性：** 使用 `-seed=` 再现模糊测试活动（仅限单核）。 ## 模糊测试词典字典通过提供有关输入格式的提示，帮助模糊器更快地发现有趣的输入。 ### 字典格式创建一个带有引号字符串的文本文件（每行一个）： # 以“#”开头的行是注释 # 魔法字节魔法=“\x89PNG” magic2=“我结束” # 关键词 “获取” “发布” “内容类型” # 十六进制序列分隔符=“\xFF\xD8\xFF” ### 使用字典 ./fuzz-dict=./format.dict语料库/ ### 生成字典 **来自头文件：** grep -o '".*"' header.h > header.dict **来自手册页：** 男人卷曲| grep -oP '^\s*(--|-)\K\S+' | sed 's/[,.]$//' | sed 's/[,.]$//' | sed 's/^/"&/; s/$/&"/' |排序 -u > man.dict **来自二进制字符串：** 字符串 ./binary | sed 's/^/"&/; s/$/&"/' > strings.dict **使用 LLM：** 要求 ChatGPT 或类似工具为您的格式生成字典（例如，“为 JSON 解析器生成 libFuzzer 字典”）。 > **另请参阅：** 对于高级字典生成、特定于格式的字典和字典优化策略，请参阅 **模糊字典** 技术技能。 ## 覆盖率分析虽然 libFuzzer 显示基本的覆盖率统计数据（“cov: N”），但详细的覆盖率分析需要其他工具。 ### 基于来源的覆盖范围 **1\.使用覆盖率检测重新编译：** clang++ -fsanitize=fuzzer -fprofile-instr-generate -fcoverage-mappingharness.cc target.cc -o fuzz **2\.运行模糊器来收集覆盖率：** LLVM_PROFILE_FILE="coverage-%p.profraw" ./fuzz -runs=10000 语料库/ **3\.合并覆盖率数据：** llvm-profdata 合并-稀疏覆盖-*.profraw -o 覆盖.profdata **4\.生成覆盖率报告：** llvm-cov 显示 ./fuzz -instr-profile=coverage.profdata **5\.生成 HTML 报告：** llvm-cov 显示 ./fuzz -instr-profile=coverage.profdata -format=html >coverage.html ### 提高覆盖范围 **提示：** * 在语料库中提供更好的种子输入 * 使用字典进行格式感知模糊测试 * 检查安全带是否正确锻炼目标 * 考虑对复杂格式进行结构感知模糊测试 * 开展更长的活动（天/周） > **另请参阅：** 有关详细的覆盖率分析技术、识别覆盖率差距、系统性覆盖率改进以及比较不同模糊器的覆盖率，请参阅 **覆盖率分析** 技术技能。 ## 消毒剂集成 ### 地址消毒剂 (ASan) ASan 检测内存错误，例如缓冲区溢出和释放后使用错误。 **强烈推荐用于模糊测试。** **启用阿桑：** clang++ -fsanitize=模糊器，地址 -g -O2 -U_FORTIFY_SOURCEharness.cc target.cc -o fuzz **ASan 输出示例：** ==1276163==错误：AddressSanitizer：地址 0x6020000c4ab1 上堆缓冲区溢出在 0x6020000c4ab1 线程 T0 处写入大小 1 check_buf(char*, unsigned long) 中的 #0 0x55555568631a main.cc:13:25 #1 0x5555556860bf 在 LLVMFuzzerTestOneInputharness.cc:7:3 **使用环境变量配置 ASan：** ASAN_OPTIONS=verbosity=1:abort_on_error=1 ./模糊语料库/ **重要标志：** * `verbosity=1`: 显示 ASan 处于活动状态 * `detect_leaks=0`：禁用泄漏检测（最后报告泄漏） * `abort_on_error=1`: 出现错误时调用 `abort()` 而不是 `_exit()` **缺点：** * 2-4 倍减速 * 需要 ~20TB 虚拟内存（禁用内存限制：`-rss_limit_mb=0`） * 在 Linux 上得到最佳支持 > **另请参阅：** 有关全面的 ASan 配置、常见陷阱、符号化以及与其他消毒剂的结合，请参阅 **address-sanitizer** 技术技能。 ### UndefinedBehaviorSanitizer (UBSan) UBSan 检测未定义的行为，例如整数溢出、空指针取消引用等。 **启用 UBSan：** clang++ -fsanitize=模糊器，未定义 -g -O2harness.cc target.cc -o fuzz **与阿桑结合：** clang++ -fsanitize=模糊器，地址，未定义 -g -O2harness.cc target.cc -o fuzz ### MemorySanitizer (MSan) MSan 检测未初始化的内存读取。使用起来更复杂（需要重建所有依赖项）。 clang++ -fsanitize=fuzzer,内存 -g -O2harness.cc target.cc -o fuzz ### 常见的消毒剂问题问题 |解决方案 ---|--- ASan 模糊测试速度太慢 |对于非致命错误使用 `-fsanitize-recover=address` 内存不足 |设置 `ASAN_OPTIONS=rss_limit_mb=0` 或 `-rss_limit_mb=0` 堆栈耗尽 |增加堆栈大小：`ASAN_OPTIONS=stack_size=8388608` “_FORTIFY_SOURCE”的误报 |使用“-U_FORTIFY_SOURCE”标志 MSan 报告依赖关系 |使用 `-fsanitize=memory` 重建所有依赖项 ## 现实世界的例子 ### 示例 1：模糊测试 libpng libpng 是一个广泛使用的用于读取/写入 PNG 图像的库。错误可能会导致安全问题。 **1\.获取源代码：** 卷曲-L -O https://downloads.sourceforge.net/project/libpng/libpng16/1.6.37/libpng-1.6.37.tar.xz tar xf libpng-1.6.37.tar.xz cd libpng-1.6.37/ **2\.安装依赖项：** apt安装zlib1g-dev **3\.使用模糊测试工具进行编译：** 导出 CC=clang CFLAGS="-fsanitize=fuzzer-no-link -fsanitize=地址" 导出 CXX=clang++ CXXFLAGS="$CFLAGS" ./configure --enable-shared=否使 **4\.获取一个安全带（或编写您自己的）：** 卷曲-O https://raw.githubusercontent.com/glennrp/libpng/f8e5fa92b0e37ab597616f554bee254157998227/contrib/oss-fuzz/libpng_read_fuzzer.cc **5\.准备语料库和词典：** mkdir 语料库/ 卷曲-o语料库/input.png https://raw.githubusercontent.com/glennrp/libpng/acfd50ae0ba3198ad734e5d4dec2b05341e50924/contrib/pngsuite/iftp1n3p08.png 卷曲-O https://raw.githubusercontent.com/glennrp/libpng/2fff013a6935967960a5ae626fc21432807933dd/contrib/oss-fuzz/png.dict **6\.链接并编译模糊器：** clang++ -fsanitize=fuzzer -fsanitize=地址 libpng_read_fuzzer.cc .libs/libpng16.a -lz -o fuzz **7\.运行模糊测试活动：** ./fuzz -close_fd_mask=3 -dict=./png.dict 语料库/ ### 示例 2：简单除法错误发现除零错误的工具： #include #include 双除（uint32_t 分子，uint32_t 分母）{ // Bug: 不检查分母是否为零返回分子/分母； } extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t 大小) { if(大小！= 2 * sizeof(uint32_t)) { 返回0； } uint32_t 分子 = *(uint32_t*)(数据); uint32_t 分母 = *(uint32_t*)(data + sizeof(uint32_t)); 除（分子，分母）；返回0； } 编译和模糊测试： clang++ -fsanitize=模糊器harness.cc -o fuzz ./模糊模糊器将快速找到导致崩溃的输入。 ## 高级用法 ### 提示和技巧提示 |为什么它有帮助 ---|--- 从单核开始，切换到 AFL++ 进行多核 | libFuzzer 利用 AFL++ 进行工作使用结构化格式词典 |错误发现速度提高 10-100 倍使用 `-close_fd_mask=3` 关闭文件描述符 |如果 SUT 写入输出，则速度提升设置合理的`-max_len` |防止在大量投入上浪费时间运行几天/几周，而不是几分钟 |覆盖稳定期需要时间才能打破使用测试套件中的种子语料库 |从有效输入开始模糊测试 ### 结构感知模糊测试对于高度结构化的输入（例如，复杂的协议、文件格式），请使用 libprotobuf-mutator： * 使用 Protocol Buffers 定义输入结构 * libFuzzer 改变 protobuf 消息（结构保留突变） * Harness 将 protobuf 转换为原生格式有关详细信息，请参阅结构感知模糊测试文档。 ### 自定义变异器 libFuzzer 允许自定义变异器进行专门的模糊测试： extern "C" size_t LLVMFuzzerCustomMutator(uint8_t *数据, size_t 大小, size_t MaxSize, unsigned int Seed) { // 自定义变异逻辑返回新大小； } extern "C" size_t LLVMFuzzerCustomCrossOver(const uint8_t *Data1, size_t Size1, const uint8_t *Data2, size_t Size2, uint8_t *Out, size_t MaxOutSize, 无符号整型种子）{ // 自定义交叉逻辑返回新大小； } ### 性能调整设置|影响 ---|--- `-close_fd_mask=3` |关闭 stdout/stderr，加速模糊测试 `-max_len=<合理大小>` |避免在大量投入上浪费时间 `-timeout=<秒>` |检测挂起，防止执行卡住禁用 ASan 作为基线 |速度提升 2-4 倍（但忽略内存错误）使用 `-jobs` 和 `-workers` |有限的多核支持在 Linux 上运行 |最佳平台支持和性能 ## 故障排除问题 |原因 |解决方案 ---|---|--- 下班后未发现崩溃|语料库贫乏，覆盖率低|添加种子输入，使用字典，检查线束每秒执行速度非常慢 (<100) |目标太复杂，日志记录过多|优化目标，使用`-close_fd_mask=3`，减少日志记录内存不足 | ASan的20TB虚拟内存|设置 `-rss_limit_mb=0` 以禁用 RSS 限制模糊器在第一次崩溃后停止 |默认行为 |使用 `-fork=1 -ignore_crashes=1` 继续无法重现崩溃|线束/目标的非确定性|去除随机数生成、全局状态使用 `-fsanitize=fuzzer` 链接错误 |缺少 libFuzzer 运行时 |确保使用 Clang，检查 LLVM 安装 GCC 项目无法使用 Clang 编译 | GCC 特定代码 |使用 `gcc_plugin` 切换到 AFL++ 覆盖范围没有改善|语料库高原|运行时间更长、添加字典、改进种子、检查覆盖率报告崩溃但 ASan 不触发 |没有 ASan 则无法检测到内存错误 |使用“-fsanitize=address”重新编译 ## 相关技能 ### 技术技能技能|使用案例 ---|--- **模糊线束写作** |有关编写有效的工具、结构感知模糊测试和 FuzzedDataProvider 使用的详细指南 **地址消毒剂** |内存错误检测配置、ASAN_OPTIONS 和故障排除 **未定义行为消毒剂** |在模糊测试期间检测未定义的行为 **覆盖率分析** |测量模糊测试的有效性并识别未经测试的代码路径 **模糊语料库** |构建和管理种子语料库、语料库最小化策略 **模糊词典** |创建特定于格式的字典以更快地发现错误 ### 相关模糊器技能|何时考虑 ---|--- **aflpp** |当您需要严格的多核模糊测试时，或者当 libFuzzer 覆盖率趋于稳定时 **洪格弗兹** |当您需要 Linux 上基于硬件的覆盖率反馈时 **libafl** |构建自定义模糊器或进行模糊研究时 ## 资源 ### 官方文档 * [LLVM libFuzzer 文档]() \- 官方参考 * [Google 的 libFuzzer 教程]() \- 分步指南 * [SanitizerCoverage]() \- 覆盖率检测详细信息 ### 高级主题 * [使用 libprotobuf-mutator 进行结构感知模糊测试]() * [libFuzzer 中的分割输入]() * [FuzzedDataProvider 标头]() ### 示例项目 * [OSS-Fuzz]() \- 开源项目的持续模糊测试（许多 libFuzzer 示例） * [AFL++ 词典集合]() \- 可重复使用的词典

libfuzzer

包含技能