軟件質(zhì)量保障

專注測試圈，自動(dòng)化測試、測試平臺開發(fā)、測試新技術(shù)、大廠測試崗面經(jīng)分享， 可以幫忙內(nèi)推BATJ等大廠！歡迎加VX溝通交流: ISTE1024

測試同行或多或少聽說過模糊測試，但不知道它是什么？本文將詳細(xì)介紹Fuzzing Test幫助你快速了解它。

什么是 "模糊測試"？

?

Fuzzing 是一種發(fā)現(xiàn)軟件缺陷的方法，它通過向程序提供隨機(jī)輸入來尋找導(dǎo)致程序崩潰的測試場景（原理有點(diǎn)類似Monkey Test）?？梢詭椭憧焖倭私獬绦蛘w的健壯性，并幫助你發(fā)現(xiàn)和修復(fù)關(guān)鍵的缺陷。

它是一種黑盒測試技術(shù)，不需要訪問源代碼，但它仍然可以用來測試那些有源代碼的軟件。這是因?yàn)樗芨斓匕l(fā)現(xiàn)缺陷，并降低大量代碼評審成本。

模糊測試優(yōu)缺點(diǎn)

Fuzzing在某些業(yè)務(wù)下雖然非常有用，但它畢竟不是銀彈。以下是模糊技術(shù)的一些優(yōu)點(diǎn)和缺點(diǎn)。

優(yōu)點(diǎn)

• 可以說不費(fèi)“吹灰之力”就能得到結(jié)果--一旦fuzzer啟動(dòng)并運(yùn)行，它就可以在沒有交互的情況下停留數(shù)小時(shí)、數(shù)天或數(shù)月來尋找錯(cuò)誤。

• 可以發(fā)現(xiàn)人工審計(jì)中遺漏的錯(cuò)誤

• 能對目標(biāo)軟件的健壯性提供一個(gè)整體性概述

缺點(diǎn)

• 不會(huì)窮盡所有bug--模糊測試可能會(huì)遺漏那些不會(huì)觸發(fā)整個(gè)程序崩潰的bug，而且對那些只在非常特殊情況下觸發(fā)的bug也難以覆蓋。

• 產(chǎn)生的崩潰測試用例可能難以分析，因?yàn)槟：郎y試的行為并不能告訴你關(guān)于軟件內(nèi)部運(yùn)行方式的知識。

• 具有復(fù)雜輸入的程序可能需要更多的工作來產(chǎn)生一個(gè)足夠聰明的模糊測試器，以獲得足夠的代碼覆蓋率。

Smart/Dumb模糊測試

Fuzzers向軟件系統(tǒng)提供隨機(jī)輸入。內(nèi)容形式可能是某種網(wǎng)絡(luò)協(xié)議、某種格式的文件或用戶能直接輸入的數(shù)據(jù)。其輸入方式是完全隨機(jī)的，并不知道預(yù)期的輸入應(yīng)該是什么樣子，也可以是經(jīng)過一些修改后看起來像是有效的輸入。

產(chǎn)生完全隨機(jī)輸入的Fuzzer被稱為 Dumb Fuzzer。少量的工作可以用很少的成本產(chǎn)生結(jié)果--這是模糊測試的一大優(yōu)勢。然而，有時(shí)一個(gè)程序只有在輸入的特定場景才會(huì)執(zhí)行某些處理。例如，一個(gè)程序的輸入需要傳入 "name"字段，而這個(gè)字段有一個(gè)與之相關(guān)的 "name length"。

如果這些字段沒有以足夠有效的形式出現(xiàn)讓程序識別，它可能永遠(yuǎn)不會(huì)讀取這個(gè)名字。如果這些字段以有效的形式存在，但長度值被設(shè)置為不正確的值，程序可能會(huì)讀到包含名字的緩沖區(qū)之外，并引發(fā)崩潰。如果缺乏有效的輸入，這是不可能發(fā)生的。在這些情況下，可以使用 Smart Fuzzer，Smart Fuzzer是基于輸入特定的規(guī)則實(shí)現(xiàn)的，例如協(xié)議定義或文件格式的規(guī)則。它可以構(gòu)建大部分有效的輸入，并且只對該基本格式內(nèi)的輸入進(jìn)行模糊處理。

Fuzzers的類型

廣義上講，F(xiàn)uzzer可以根據(jù)它們創(chuàng)建程序輸入的方式分為兩類--基于變異與基于生成.

基于變異的fuzzer

基于突變的Fuzzer可以說是最容易創(chuàng)建的類型之一。這種技術(shù)適合Dumb Fuzzer，但也可用于智能的Fuzzer。通過突變，有效輸入的樣本被隨機(jī)突變以產(chǎn)生畸形的輸入。

dumb ?mutation Fuzzer可以簡單地選擇一個(gè)有效的輸入樣本，并隨機(jī)地改變它的一部分。因?yàn)檩斎胪ǔＨ匀慌c有效輸入有足夠的相似性，所以這意味著不需要進(jìn)一步的智能化處理就可以實(shí)現(xiàn)良好的代碼覆蓋。

下面是基于突變的Fuzzer可以使用的兩種技術(shù)。

流量回放

Fuzzer可以采取保存的樣本輸入，并在突變后重新播放。這對文件格式的模糊處理很有效，可以保存一些樣本文件并進(jìn)行模糊處理以提供給目標(biāo)程序。

簡單或無狀態(tài)的網(wǎng)絡(luò)協(xié)議也可以用重放來有效地進(jìn)行模糊處理，因?yàn)镕uzzer不需要提出大量的合法請求來深入到協(xié)議中去。對于更復(fù)雜的協(xié)議，重放可能更困難。這是因?yàn)镕uzzer需要以動(dòng)態(tài)方式響應(yīng)程序，以允許處理繼續(xù)深入?yún)f(xié)議。

代理

你可能聽說過中間人（MITM）是滲透測試者和黑客使用的一種技術(shù)，但它也可以用于基于突變的網(wǎng)絡(luò)協(xié)議模糊測試。通過MITM，你置身于客戶端和服務(wù)器的中間，截獲并可能修改它們之間傳遞的信息。通過這種方式，你就像兩者之間的一個(gè)代理。

通過將你的Fuzzer設(shè)置為代理，它可以根據(jù)你對服務(wù)器或客戶端的模糊處理來改變請求或響應(yīng)。同樣，F(xiàn)uzzer可以隨機(jī)地改變一些請求，也可以在你感興趣的協(xié)議的特定層次上智能地鎖定請求?；诖淼哪：郎y試可以讓你利用現(xiàn)有的網(wǎng)絡(luò)程序部署架構(gòu)，快速插入模糊測試層，而不需要讓你的fuzzer像客戶端或服務(wù)器本身一樣行動(dòng)。

基于生成的fuzzer

基于生成的Fuzzer實(shí)際上是從零開始生成輸入，而不是突變現(xiàn)有的輸入。它們通常需要一定程度的智能來構(gòu)建至少對程序有一定意義的輸入，盡管生成完全隨機(jī)的數(shù)據(jù)在技術(shù)上也是生成。

生成Fuzzer通常將協(xié)議或文件格式分成幾塊，它們可以按照有效的順序建立起來，并隨機(jī)地對其中一些塊進(jìn)行獨(dú)立模糊。這可以創(chuàng)造出保留其整體結(jié)構(gòu)的輸入，但其中也包含不一致的數(shù)據(jù)。這些塊的顆粒度和構(gòu)建這些塊的智能程度決定了Fuzzer的智能水平。雖然基于突變的模糊處理可以產(chǎn)生與生成模糊處理類似的效果（因?yàn)殡S著時(shí)間的推移，突變將被隨機(jī)應(yīng)用，而不會(huì)完全破壞輸入的結(jié)構(gòu)），但生成輸入可以確保這種情況的發(fā)生。

生成fuzzers也可以更容易地深入到協(xié)議中，因?yàn)樗梢詷?gòu)建有效的輸入序列，對該通信的特定部分進(jìn)行模糊處理。它還允許Fuzzer作為一個(gè)真正的客戶/服務(wù)器，生成正確的、動(dòng)態(tài)的響應(yīng)，但這些響應(yīng)不能盲目地重放。

進(jìn)化型fuzzer

進(jìn)化型模糊測試是一種先進(jìn)的技術(shù)。它允許Fuzzer使用來自每個(gè)測試用例的反饋，以了解隨著時(shí)間推移輸入的格式。例如，通過測量每個(gè)測試用例的代碼覆蓋率，F(xiàn)uzzer可以計(jì)算出測試用例的哪些屬性可以鍛煉給定的代碼區(qū)域，并逐漸演化出一套覆蓋大部分程序代碼的測試用例。進(jìn)化型模糊測試通常依賴于與遺傳算法類似的其他技術(shù)，并且可能需要某種形式的二進(jìn)制工具來正確操作。

模糊測試測什么？

即使是相對dumb的模糊測試，也要記住你的測試用例實(shí)際上有可能擊中代碼的哪一部分。舉個(gè)簡單的例子，如果你正在摸索一個(gè)使用TCP/IP的應(yīng)用協(xié)議，而你的Fuzzers隨機(jī)突變了一個(gè)原始數(shù)據(jù)包的捕獲，你很可能會(huì)破壞TCP/IP數(shù)據(jù)包本身。因此，你的輸入根本不可能被應(yīng)用程序所處理。再者，如果你正在測試一個(gè)將文本的圖像解析為真實(shí)文本的OCR程序，但你正在突變整個(gè)圖像文件，你最終可能會(huì)更頻繁地測試其圖像解析代碼而不是實(shí)際的OCR代碼。如果你想專門針對該OCR處理，你可能希望保持圖像文件的標(biāo)題有效。

Fuzzer運(yùn)行流程

為了有效地運(yùn)行，F(xiàn)uzzer需要執(zhí)行以下重要任務(wù)：

• 生成測試用例

• 記錄測試用例或再現(xiàn)用例所需的任何信息

• 對目標(biāo)程序接口提供測試case作為輸入

• 檢測崩潰

Fuzzer通常將其中的許多任務(wù)分成獨(dú)立的模塊。例如，有一個(gè)庫可以突變數(shù)據(jù)或根據(jù)定義生成數(shù)據(jù)，另一個(gè)庫可以向目標(biāo)程序提供測試用例等等。

生成測試用例

測試用例的生成將取決于是否采用了基于突變或基于生成的模糊處理。無論采用哪種方法，都會(huì)有一些需要隨機(jī)轉(zhuǎn)換的東西，無論是特定類型的字段還是任意的數(shù)據(jù)塊。

這些轉(zhuǎn)換可以是完全隨機(jī)的，但值得注意的是，邊界和極端的情況往往是程序中錯(cuò)誤的來源。因此，你可能希望偏向于這樣的情況。

• 非常長超長字符串或Null

• 能支持的最大值和最小值整數(shù)

• 像-1、0、1和2這樣的值

根據(jù)你要模糊處理的內(nèi)容，可能會(huì)有一些特定的值或字符更容易觸發(fā)bug。比如：

• Null

• 分號

• 格式化字符串值（%n，%s等等）

• 應(yīng)用特定的關(guān)鍵詞

可重復(fù)性

重現(xiàn)一個(gè)測試用例的最簡單方法是記錄檢測到崩潰時(shí)使用的確切輸入。在某些情況下，還有其他方法能實(shí)現(xiàn)重現(xiàn)性。一種方法是存儲用于測試用例生成的隨機(jī)部分的初始種子，并確保所有后續(xù)的隨機(jī)行為遵循一個(gè)可以追溯到該種子的路徑。通過用相同的種子重新運(yùn)行Fuzzer，行為應(yīng)該是可重復(fù)的。例如，你可以只記錄測試用例編號和初始種子，然后用該種子快速重新執(zhí)行生成，直到達(dá)到給定的測試用例。

當(dāng)目標(biāo)程序可能基于過去的輸入積累了依賴性時(shí)，這種技術(shù)就很有用。以前的輸入可能導(dǎo)致程序在其內(nèi)存中初始化各種項(xiàng)目，而這些項(xiàng)目是觸發(fā)錯(cuò)誤所必須的。在這些情況下，簡單地記錄崩潰的測試用例并不足以重現(xiàn)該錯(cuò)誤。

與目標(biāo)程序?qū)?/strong>