AFL--模糊测试使用浅析
2022-5-24 17:30:3 Author: mp.weixin.qq.com(查看原文) 阅读量:5 收藏

一、AFL简介

AFL(American Fuzzy Lop)是由安全研究员Micha? Zalewski(@lcamtuf)开发的一款基于覆盖引导(Coverage-guided)的模糊测试工具,它通过记录输入样本的代码覆盖率,从而调整输入样本以提高覆盖率,增加发现漏洞的概率。

①从源码编译程序时进行插桩,以记录代码覆盖率(Code Coverage);②选择一些输入文件,作为初始测试集加入输入队列(queue);③将队列中的文件按一定的策略进行“突变”;④如果经过变异文件更新了覆盖范围,则将其保留添加到队列中; ⑤上述过程会一直循环进行,期间触发了crash的文件会被记录下来。

二、AFL安装、测试

*1.安装AFL*

下载源码

Make

llvm_mode安装

之后输入以下命令进行安装

*2.AFL测试*

下载一个有缺陷的c文件

使用 afl-gcc/afl-clang 编译

生成一些种子语料库

开始fuzz

提示修改/proc/sys/kernel/core_pattern

再次运行之前的代码可看到fuzz进度

现在就表示我们的ACL已经安装成功了,注意出现(odd,check syntax!)是表示样例根本没有进入到测试中去,需要调整语料库。

Ctrl+C打断可以在out文件里看见我们的测试信息

*3.并行fuzz测试*

每个afl-fuzz进程占用CPU的一个核,实际上如果是多核的主机,AFL就可以并行工作

首先先看自己有多少内核

以上可以看出有四个内核意味着可以同时运行4个实例

首先指定主实例  -M 用于主实例,将 -S 添加到所有从属实例。它们可以相互同步

主实例:afl-fuzz -M master -i in/ -o out/ -m none -- ./imgRead_afl @@

从实例:afl-fuzz -S slave1 -i in/ -o out/ -m none -- ./imgRead_afl @@

在之前的out文件夹会多出俩个不同的文件夹masterh和slave1

现在尝试假如我们一次性运行5个实例会怎么样

在运行第5个实例后报错,其他实例不受影响,也可以确定4个核在运行中

三、AFL模糊测试libjpeg-turbo

libjpeg是专门处理Jpeg解码、编码、转码的自由软件库。libjpeg-turbo是其fork版本,还有一个基于libjpeg-turbo的fork的版本是MozJpeg。

*1.编译libjpeg-turbo*

首先下载libjpeg-turbo

之后需要修改cmakelist.txt,进行插桩编译

在cmakelist.txt中,在cmake_minimum_required命令下添加编译器选项,在前面添加,免得被覆盖,进行插桩编译

之后在libjpeg-turbo文件夹下

mkdir build

cd build

cmake ..

make

sudo make install

安装好之后build的内容如下

之后利用程序的示例对是否成功安装libjpeg-turbo库进行测试

该函数有俩个参数  一个输入文件名,一个作为输出文件名

具体作用就是调用了turbojpeg.h这个库函数对输入的jpg图片进行压缩

因为修改了cmake中的编译器设置,应该库函数里已经是被插过桩的,所以在编译时是可以不用afl-gcc编译也可以进行检测

这样是可以生成可执行文件,也可以实现压缩图片的功能,这里也对之前的样例进行了修改,只接收一个变量,并且不对压缩文件进行保存

但在进行模糊测试时出现以下问题

没有插桩信息,无法进行测试

发现它是动态编译的,虽然应该其动态链接库是插过桩的。但最后已知没有实现。这里最后考虑是想通过链接静态库实现。也是在网上查询未果后,发现在根目录下输入  make test,可以调用他自己的样例进行测试,这其中就包括了静态链接的测试

在一个静态链接测试的项目下,查看其ling.txt,得到静态编译的方式

最后对自己的编译自己的样例

之后开始模糊测试

总共测试次数超过1亿次,开了4个并行

4个样例的的最开始输入都是不一样的,可以从路径速度和总量上看出明显的区别,确实libjpeg-turbo在更新2.0之后,其安全性能得到了极大的提升,没有收到一个报错信息。

*2.内存错误检查工具*

这里有很多的内存检查工具,这里举个大概,只大概研究ASAN (-fsanitize=address)的使用和与AFL测试的结合

这里测试了几个漏洞文件以此来明晰ASAN的作用

编译文件模板如下

g++ -fsanitize=address -fno-omit-frame-pointer -o t xxx.cpp

这里只对几种漏洞进行展示

use-after-fee

可以看到漏洞的名称和发生的内存地址

stack buffer overflow

还有很多其他类型的漏洞可以进行检测

Address Sanitizer 用法 - 简书 (jianshu.com)

https://www.jianshu.com/p/3a2df9b7c353

在AFL中启用ASAN的方式也比较简单

在make时加上AFL_USE_ASAN=1

注意之后编译文件时需要加上启用asan的参数,不然会报错

*3.构造自己的字典*

AFL自带自己的一个字典库,主要用于各种变异操作的

如下是AFL的jpeg的字典

为了符合jpeg图片的实际,需要分析在jpeg中出现次数多且固定的字符

这里挑选一些频率较高的字符加入字典

这里挑选的字符主要来源自各种jpeg的开头部分

之后如果要使用字典需要使用-x参数进行指定字典文件

https://paper.seebug.org/496/#dictionary

*4.语料库蒸馏*

afl-cmin的核心思想是:尝试找到与语料库全集具有相同覆盖范围的最小子集。举个例子,假设有多个文件,都覆盖了相同的代码,那么就丢掉多余的文件。

最后只留下一个文件

afl-tmin(减小单个输入文件的大小)

afl-tmin有两种工作模式,

instrumented mode和crash mode。默认的工作方式是instrumented mode

后面查资料得到tmin只能处理文件,文件夹需要修改脚本

精简到0bytes,后面在网上看到了相似的例子,这和tmin的精简策略有关,确实存在这种情况。

如果加上了参数-x,就会调用crash mode模式,会把导致程序非正常退出的文件直接剔除。这里测试的样例并没有crash例子,所以不进行测试。

*5.持久模式*

在持久模式下,AFL 仅模糊部分程序,而不是整个程序。当只想模糊复杂软件中的特定功能时,这很有用。与分叉服务器模式相比,这提供了许多速度改进。

具体例子如下:

对想要进行的部分进行修改

此时修改的文件是turbojpeg.c

再修改cmakelist.txt如下

之后对库进行重新编译

编译方式

再进行afl-fuzz(与之前一致)

速度上确实比之前的速度要快,最快时比之前要快上俩倍多

*6.Afl-cov使用*

可以快速帮助我们调用lcov和gcov处理来自afl-fuzz测试用例的代码覆盖率结果

安装

GCOV,它随gcc一起发布,所以不需要再单独安装,和afl-gcc插桩编译的原理一样,gcc编译时生成插桩的程序,用于在执行时生成代码覆盖率信息

LCOV,它是GCOV的图形前端,可以收集多个源文件的gcov数据,并创建包含使用覆盖率信息注释的源代码HTML页面。

这里也可以使用apt-install afl-cov来安装,不过看网上建议这个版本实际使用上会有问题,所以这里还是直接下载源码

为了实现检查覆盖率需要修改cmakelist.txt如下

再次编译库

编译文件

这里的afl-cov选择实时监控 也就是添加--live,先启动afl-cov,后启动afl-fuzz,当afl-fuzz退出时,afl-cov就会跟着退出

启动afl-cov的命令

/home/user/Desktop/afl-cov/afl-cov -d afl-cc --live --enable-branch-coverage -c . -e "cat AFL_FILE | ./ttt AFL_FILE" --overwrite

-d是之后afl-fuzz的输出文件,-c是直向源码文件的,在编译.c文件后,会生成一个.gno文件,-c 后面跟该文件的目录

启动afl-fuzz(与之前一致)

Afl-fuzz退出后,afl-cov需要等一会才能正常退出,此时就可以看见生成分析的网页了

也可以针对已经生成的数据直接开启afl-cov,但要求编译已经加上了-fprofile-arcs -ftest-coverage

网页首页

也可以进入到文件里,查看具体语句的执行次数

*7.afl_postprocess使用*

它最主要的作用就是可以规定生成种子的格式

作者在github上的样例的作用是让每个测试用例开头的标头都是

GIF89ahttps://github.com/mirrorer/afl/blob/master/experimental/post_library/post_library.so.c

编译方法

gcc -shared -wall -O3 post_library.so.c -o post_library.so

可以看看afl-fuzz.c对该方法的支持

获取AFL_POST_LIBRARY环境变量的值,自动加载afl_postprocess函数

这里推荐使用export设定环境变量,需要说明的是export的环境变量只在当前的shell(BASH)或其子shell(BASH)下是有效的,shell关闭了,变量也就失效了,再打开新shell时就没有这个变量,需要使用的话还需要重新定义。如果需要一直使用,需要修改配置文件,方法推荐

https://blog.csdn.net/wx_it/article/details/118450790

加载后处理器库成功

也可以看到我们的测试样例变成了GIF格式,后处理库有效。

测试其他的例子

这部分需要注意的是对源码的处理,确保样例格式的满足输入的要求

参考资料

Fuzzing open source softwares with AFL

AFL 漏洞挖掘技术漫谈(一):用 AFL 开始你的第一次 Fuzzing

AFL 漏洞挖掘技术漫谈(二):Fuzz 结果分析和代码覆盖率

Fuzzing software: common challenges and potential solutions (Part 1)

Fuzzing software: advanced tricks (Part 2)

AFL 源码分析

实操推荐:Fuzz之AFL

测试用例来探索二进制程序内部新的执行路径。通过该实验了解AFL的使用方法,能够通过AFL模糊测试一些简单的软件,明白fuzz的基本方法和思想。

周年庆活动:会员领取

原创稿件征集

征集原创技术文章中,欢迎投递

投稿邮箱:[email protected]

文章类型:黑客极客技术、信息安全热点安全研究分析安全相关

通过审核并发布能收获200-800元不等的稿酬。

更多详情,点我查看!

体验靶场实操,戳“阅读原文”体验

文章来源: http://mp.weixin.qq.com/s?__biz=MjM5MTYxNjQxOA==&mid=2652887917&idx=1&sn=213a090ba34dd71ed69f6cb8edd1d544&chksm=bd59a7a08a2e2eb69fe33d6b0d79eabe1244e10fe9e640a7ee47a0e591b357fbc999f206aa00#rd
如有侵权请联系:admin#unsafe.sh