軟件質(zhì)量保障

專(zhuān)注測(cè)試圈，自動(dòng)化測(cè)試、測(cè)試平臺(tái)開(kāi)發(fā)、測(cè)試新技術(shù)、大廠測(cè)試崗面經(jīng)分享， 可以幫忙內(nèi)推BATJ等大廠！歡迎加VX溝通交流: ISTE1024

測(cè)試同行或多或少聽(tīng)說(shuō)過(guò)模糊測(cè)試，但不知道它是什么？本文將詳細(xì)介紹Fuzzing Test幫助你快速了解它。

什么是 "模糊測(cè)試"？

?

Fuzzing 是一種發(fā)現(xiàn)軟件缺陷的方法，它通過(guò)向程序提供隨機(jī)輸入來(lái)尋找導(dǎo)致程序崩潰的測(cè)試場(chǎng)景（原理有點(diǎn)類(lèi)似Monkey Test）。可以幫助你快速了解程序整體的健壯性，并幫助你發(fā)現(xiàn)和修復(fù)關(guān)鍵的缺陷。

它是一種黑盒測(cè)試技術(shù)，不需要訪問(wèn)源代碼，但它仍然可以用來(lái)測(cè)試那些有源代碼的軟件。這是因?yàn)樗芨斓匕l(fā)現(xiàn)缺陷，并降低大量代碼評(píng)審成本。

模糊測(cè)試優(yōu)缺點(diǎn)

Fuzzing在某些業(yè)務(wù)下雖然非常有用，但它畢竟不是銀彈。以下是模糊技術(shù)的一些優(yōu)點(diǎn)和缺點(diǎn)。

優(yōu)點(diǎn)

• 可以說(shuō)不費(fèi)“吹灰之力”就能得到結(jié)果--一旦fuzzer啟動(dòng)并運(yùn)行，它就可以在沒(méi)有交互的情況下停留數(shù)小時(shí)、數(shù)天或數(shù)月來(lái)尋找錯(cuò)誤。

• 可以發(fā)現(xiàn)人工審計(jì)中遺漏的錯(cuò)誤

• 能對(duì)目標(biāo)軟件的健壯性提供一個(gè)整體性概述

缺點(diǎn)

• 不會(huì)窮盡所有bug--模糊測(cè)試可能會(huì)遺漏那些不會(huì)觸發(fā)整個(gè)程序崩潰的bug，而且對(duì)那些只在非常特殊情況下觸發(fā)的bug也難以覆蓋。

• 產(chǎn)生的崩潰測(cè)試用例可能難以分析，因?yàn)槟：郎y(cè)試的行為并不能告訴你關(guān)于軟件內(nèi)部運(yùn)行方式的知識(shí)。

• 具有復(fù)雜輸入的程序可能需要更多的工作來(lái)產(chǎn)生一個(gè)足夠聰明的模糊測(cè)試器，以獲得足夠的代碼覆蓋率。

Smart/Dumb模糊測(cè)試

Fuzzers向軟件系統(tǒng)提供隨機(jī)輸入。內(nèi)容形式可能是某種網(wǎng)絡(luò)協(xié)議、某種格式的文件或用戶能直接輸入的數(shù)據(jù)。其輸入方式是完全隨機(jī)的，并不知道預(yù)期的輸入應(yīng)該是什么樣子，也可以是經(jīng)過(guò)一些修改后看起來(lái)像是有效的輸入。

產(chǎn)生完全隨機(jī)輸入的Fuzzer被稱為 Dumb Fuzzer。少量的工作可以用很少的成本產(chǎn)生結(jié)果--這是模糊測(cè)試的一大優(yōu)勢(shì)。然而，有時(shí)一個(gè)程序只有在輸入的特定場(chǎng)景才會(huì)執(zhí)行某些處理。例如，一個(gè)程序的輸入需要傳入 "name"字段，而這個(gè)字段有一個(gè)與之相關(guān)的 "name length"。

如果這些字段沒(méi)有以足夠有效的形式出現(xiàn)讓程序識(shí)別，它可能永遠(yuǎn)不會(huì)讀取這個(gè)名字。如果這些字段以有效的形式存在，但長(zhǎng)度值被設(shè)置為不正確的值，程序可能會(huì)讀到包含名字的緩沖區(qū)之外，并引發(fā)崩潰。如果缺乏有效的輸入，這是不可能發(fā)生的。在這些情況下，可以使用 Smart Fuzzer，Smart Fuzzer是基于輸入特定的規(guī)則實(shí)現(xiàn)的，例如協(xié)議定義或文件格式的規(guī)則。它可以構(gòu)建大部分有效的輸入，并且只對(duì)該基本格式內(nèi)的輸入進(jìn)行模糊處理。

Fuzzers的類(lèi)型

廣義上講，F(xiàn)uzzer可以根據(jù)它們創(chuàng)建程序輸入的方式分為兩類(lèi)--基于變異與基于生成.

基于變異的fuzzer

基于突變的Fuzzer可以說(shuō)是最容易創(chuàng)建的類(lèi)型之一。這種技術(shù)適合Dumb Fuzzer，但也可用于智能的Fuzzer。通過(guò)突變，有效輸入的樣本被隨機(jī)突變以產(chǎn)生畸形的輸入。

dumb ?mutation Fuzzer可以簡(jiǎn)單地選擇一個(gè)有效的輸入樣本，并隨機(jī)地改變它的一部分。因?yàn)檩斎胪ǔＨ匀慌c有效輸入有足夠的相似性，所以這意味著不需要進(jìn)一步的智能化處理就可以實(shí)現(xiàn)良好的代碼覆蓋。

下面是基于突變的Fuzzer可以使用的兩種技術(shù)。

流量回放

Fuzzer可以采取保存的樣本輸入，并在突變后重新播放。這對(duì)文件格式的模糊處理很有效，可以保存一些樣本文件并進(jìn)行模糊處理以提供給目標(biāo)程序。

簡(jiǎn)單或無(wú)狀態(tài)的網(wǎng)絡(luò)協(xié)議也可以用重放來(lái)有效地進(jìn)行模糊處理，因?yàn)镕uzzer不需要提出大量的合法請(qǐng)求來(lái)深入到協(xié)議中去。對(duì)于更復(fù)雜的協(xié)議，重放可能更困難。這是因?yàn)镕uzzer需要以動(dòng)態(tài)方式響應(yīng)程序，以允許處理繼續(xù)深入?yún)f(xié)議。

代理

你可能聽(tīng)說(shuō)過(guò)中間人（MITM）是滲透測(cè)試者和黑客使用的一種技術(shù)，但它也可以用于基于突變的網(wǎng)絡(luò)協(xié)議模糊測(cè)試。通過(guò)MITM，你置身于客戶端和服務(wù)器的中間，截獲并可能修改它們之間傳遞的信息。通過(guò)這種方式，你就像兩者之間的一個(gè)代理。

通過(guò)將你的Fuzzer設(shè)置為代理，它可以根據(jù)你對(duì)服務(wù)器或客戶端的模糊處理來(lái)改變請(qǐng)求或響應(yīng)。同樣，F(xiàn)uzzer可以隨機(jī)地改變一些請(qǐng)求，也可以在你感興趣的協(xié)議的特定層次上智能地鎖定請(qǐng)求?；诖淼哪：郎y(cè)試可以讓你利用現(xiàn)有的網(wǎng)絡(luò)程序部署架構(gòu)，快速插入模糊測(cè)試層，而不需要讓你的fuzzer像客戶端或服務(wù)器本身一樣行動(dòng)。

基于生成的fuzzer

基于生成的Fuzzer實(shí)際上是從零開(kāi)始生成輸入，而不是突變現(xiàn)有的輸入。它們通常需要一定程度的智能來(lái)構(gòu)建至少對(duì)程序有一定意義的輸入，盡管生成完全隨機(jī)的數(shù)據(jù)在技術(shù)上也是生成。

生成Fuzzer通常將協(xié)議或文件格式分成幾塊，它們可以按照有效的順序建立起來(lái)，并隨機(jī)地對(duì)其中一些塊進(jìn)行獨(dú)立模糊。這可以創(chuàng)造出保留其整體結(jié)構(gòu)的輸入，但其中也包含不一致的數(shù)據(jù)。這些塊的顆粒度和構(gòu)建這些塊的智能程度決定了Fuzzer的智能水平。雖然基于突變的模糊處理可以產(chǎn)生與生成模糊處理類(lèi)似的效果（因?yàn)殡S著時(shí)間的推移，突變將被隨機(jī)應(yīng)用，而不會(huì)完全破壞輸入的結(jié)構(gòu)），但生成輸入可以確保這種情況的發(fā)生。

生成fuzzers也可以更容易地深入到協(xié)議中，因?yàn)樗梢詷?gòu)建有效的輸入序列，對(duì)該通信的特定部分進(jìn)行模糊處理。它還允許Fuzzer作為一個(gè)真正的客戶/服務(wù)器，生成正確的、動(dòng)態(tài)的響應(yīng)，但這些響應(yīng)不能盲目地重放。

進(jìn)化型fuzzer

進(jìn)化型模糊測(cè)試是一種先進(jìn)的技術(shù)。它允許Fuzzer使用來(lái)自每個(gè)測(cè)試用例的反饋，以了解隨著時(shí)間推移輸入的格式。例如，通過(guò)測(cè)量每個(gè)測(cè)試用例的代碼覆蓋率，F(xiàn)uzzer可以計(jì)算出測(cè)試用例的哪些屬性可以鍛煉給定的代碼區(qū)域，并逐漸演化出一套覆蓋大部分程序代碼的測(cè)試用例。進(jìn)化型模糊測(cè)試通常依賴于與遺傳算法類(lèi)似的其他技術(shù)，并且可能需要某種形式的二進(jìn)制工具來(lái)正確操作。

模糊測(cè)試測(cè)什么？

即使是相對(duì)dumb的模糊測(cè)試，也要記住你的測(cè)試用例實(shí)際上有可能擊中代碼的哪一部分。舉個(gè)簡(jiǎn)單的例子，如果你正在摸索一個(gè)使用TCP/IP的應(yīng)用協(xié)議，而你的Fuzzers隨機(jī)突變了一個(gè)原始數(shù)據(jù)包的捕獲，你很可能會(huì)破壞TCP/IP數(shù)據(jù)包本身。因此，你的輸入根本不可能被應(yīng)用程序所處理。再者，如果你正在測(cè)試一個(gè)將文本的圖像解析為真實(shí)文本的OCR程序，但你正在突變整個(gè)圖像文件，你最終可能會(huì)更頻繁地測(cè)試其圖像解析代碼而不是實(shí)際的OCR代碼。如果你想專(zhuān)門(mén)針對(duì)該OCR處理，你可能希望保持圖像文件的標(biāo)題有效。

Fuzzer運(yùn)行流程

為了有效地運(yùn)行，F(xiàn)uzzer需要執(zhí)行以下重要任務(wù)：

• 生成測(cè)試用例

• 記錄測(cè)試用例或再現(xiàn)用例所需的任何信息

• 對(duì)目標(biāo)程序接口提供測(cè)試case作為輸入

• 檢測(cè)崩潰

Fuzzer通常將其中的許多任務(wù)分成獨(dú)立的模塊。例如，有一個(gè)庫(kù)可以突變數(shù)據(jù)或根據(jù)定義生成數(shù)據(jù)，另一個(gè)庫(kù)可以向目標(biāo)程序提供測(cè)試用例等等。

生成測(cè)試用例

測(cè)試用例的生成將取決于是否采用了基于突變或基于生成的模糊處理。無(wú)論采用哪種方法，都會(huì)有一些需要隨機(jī)轉(zhuǎn)換的東西，無(wú)論是特定類(lèi)型的字段還是任意的數(shù)據(jù)塊。

這些轉(zhuǎn)換可以是完全隨機(jī)的，但值得注意的是，邊界和極端的情況往往是程序中錯(cuò)誤的來(lái)源。因此，你可能希望偏向于這樣的情況。

• 非常長(zhǎng)超長(zhǎng)字符串或Null

• 能支持的最大值和最小值整數(shù)

• 像-1、0、1和2這樣的值

根據(jù)你要模糊處理的內(nèi)容，可能會(huì)有一些特定的值或字符更容易觸發(fā)bug。比如：

• Null

• 分號(hào)

• 格式化字符串值（%n，%s等等）

• 應(yīng)用特定的關(guān)鍵詞

可重復(fù)性

重現(xiàn)一個(gè)測(cè)試用例的最簡(jiǎn)單方法是記錄檢測(cè)到崩潰時(shí)使用的確切輸入。在某些情況下，還有其他方法能實(shí)現(xiàn)重現(xiàn)性。一種方法是存儲(chǔ)用于測(cè)試用例生成的隨機(jī)部分的初始種子，并確保所有后續(xù)的隨機(jī)行為遵循一個(gè)可以追溯到該種子的路徑。通過(guò)用相同的種子重新運(yùn)行Fuzzer，行為應(yīng)該是可重復(fù)的。例如，你可以只記錄測(cè)試用例編號(hào)和初始種子，然后用該種子快速重新執(zhí)行生成，直到達(dá)到給定的測(cè)試用例。

當(dāng)目標(biāo)程序可能基于過(guò)去的輸入積累了依賴性時(shí)，這種技術(shù)就很有用。以前的輸入可能導(dǎo)致程序在其內(nèi)存中初始化各種項(xiàng)目，而這些項(xiàng)目是觸發(fā)錯(cuò)誤所必須的。在這些情況下，簡(jiǎn)單地記錄崩潰的測(cè)試用例并不足以重現(xiàn)該錯(cuò)誤。

與目標(biāo)程序?qū)?/strong>