漏洞挖掘利器-Fuzz技术介绍

模糊测试的定义

模糊测试定义为“经过向应用提供非预期的输入并监控输出中的异常来发现软件中的故障(faults)的方法”。 典型而言,模糊测试利用自动化或是半自动化的方法重复地向应用提供输入。显然,上述定义至关宽泛,但这个定义阐明了模糊测试的基本概念。

用于模糊测试的模糊测试器(fuzzer)分为两类:

一类

是基于变异(mutation-based)的模糊测试器,这一类测试器经过对已有的数据样本进行变异来建立 测试用例;

而另外一类

是基于生成(generation-based)的模糊测试器,该类测试器为被测系统使用的协议或是文件格式建模,基于模型生成输入并据此建立测试用例。这两种模糊测试器各有其优缺点。

若是你是模糊测试的新手,能够将模糊测试类比成如何闯进一所房子。假设你不幸丢了工做,不得不以犯罪为生,如今你想要破门进入一所房子。 若是采用纯白盒测试的方法,你须要在破门前获得房子的全部相关信息,包括房子的蓝图(blueprints),房子的锁的生产厂家、房子的建筑材料等。显然,白盒测试放在这种状况下有独特的好处,但也并不是万无一失。应用白盒测试方法,你须要对房子进行静态分析而不是进行运行时(实际进入房子时)检查。例如,经过静态分析你发现这所房子起居室的侧面窗户有一个漏洞,能够把窗户打碎进入房子。但你确定没办法预见到你进入后的事情,也许当你进入之后,发现愤怒的房主正在屋里拿着枪等你。 另外,你能够采用黑盒测试方法来进入这所房子。采用黑盒测试方法,你能够在黑暗的掩护下接近房子,悄悄测试全部的门和窗户,向房子内窥视以决定最好的突破口。可是,若是你最终选择使用模糊测试方法进入这所房子,你能够既不用研究房子的蓝图、也不用手工尝试全部那些锁,只须要选择一种武器并让进入房子的过程彻底自动化——这就是强制安全漏洞发现方法的威力!

模糊测试各阶段

采用何种模糊测试方法取决于众多因素。没有所谓的必定正确的模糊测试方法,决 定采用何种模糊测试方法彻底依赖于被测应用、测试者拥有的技能、以及被进行模糊测 试的数据的格式。可是,不论对什么应用进行模糊测试,不论采用何种模糊测试方法, 模糊测试执行过程都包含相同的几个基本阶段。

1.肯定测试目标

只有有了明确的测试目标后,咱们才能决定使用的模糊测试工具或方法。若是要在安全审计中对一个彻底由内部开发的应用进行模糊测试,测试目标的选择必须当心谨慎。但若是是要在第三方应用中找到安全漏洞,测试目标的选择就更加灵活。要决定第三方应用模糊测试的测试目标,首先须要参考该第三方应用的供应商历史上曾出现过的安全漏洞。在一些典型的安全漏洞聚合网站如 SecurityFocus 18 和 Secunia 19 上能够查找到主要软件供应商历史上曾出现过的安全漏洞。若是某个供应商的历史记录不好,极可能意味着这个供应商的代码实践 (code practice)能力不好,他们的产品有仍有很大可能存在未被发现的安全漏洞。除应用程序外,应用包含的特定文件或库也能够是测试目标。 若是须要选择应用包含的特定文件或者库做为测试目标,你能够把注意力放在多个应用程序之间共享的那些二进制代码上。由于若是这些共享的二进制代码中存在安全漏洞,将会有很是多的用户受到影响,于是风险也更大。

2.肯定输入向量

几乎全部可被利用的安全漏洞都是由于应用没有对用户的输入进行校验或是进行必要的非法输入处理。是否能找到全部的输入向量(input vector)是模糊测试可否成功的关键。若是不能准确地找到输入向量,或是不能找到预期的输入值,模糊测试的做用就会受到很大的局限。有些输入向量是显而易见的,有些则否则。寻找输入向量的原则是:从客户端向目标应用发送的任何东西,包括头(headers)、文件名(file name)、环 境变量(environment variables),注册表键(registry keys),以及其余信息,都应该被看作是输入向量。全部这些输入向量均可能是潜在的模糊测试变量。

3.生成模糊测试数据

一旦识别出输入向量,就能够依据输入向量产生模糊测试数据了。到底是使用预先肯定的值、使用基于存在的数据经过变异生成的值、仍是使用动态生成的值依赖于被测应用及其使用的数据格式。可是,不管选择哪一种方式,都应该使用自动化过程来生成数据。

4.执行模糊测试数据

该步骤紧接上一个步骤,正是在这个步骤,“模糊测试”变成了动词。在该步骤中,通常会向被测目标发送数据包、打开文件、或是执行被测应用。同上一个步骤同样,这个步骤必须是自动化的。不然,咱们就不算是真正在开展模糊测试。

5.监视异常

一个重要但常常容易被忽略的步骤是对异常和错误进行监控。设想咱们在进行一次模糊测试,在测试中,咱们向被测的 Web 服务器发送了 10000 个数据包,最终致使了服务器崩溃。但服务器崩溃后,咱们却怎么也找不到致使服务器崩溃的数据包了。若是这种事真的发生了,咱们只能说这个测试毫无价值。模糊测试须要根据被测应用和所决定采用的模糊测试类型来设置各类形式的监视。

6.断定发现的漏洞是否可能被利用

若是在模糊测试中发现了一个错误,依据审计的目的,可能须要断定这个被发现的错误是不是一个可被利用的安全漏洞。这种断定过程是典型的手工过程,须要操做者具备特定的安全知识。这个步骤不必定要由模糊测试的执行者来进行,也能够交给其余人来进行。