模糊測(cè)試，也稱為模糊測(cè)試，是一種自動(dòng)化軟件測(cè)試技術(shù)，涉及向計(jì)算機(jī)程序提供無(wú)效、意外或隨機(jī)數(shù)據(jù) (fuzz) 作為輸入。目標(biāo)是查找可以利用的編碼錯(cuò)誤、漏洞、安全漏洞和漏洞。本文首先介紹模糊測(cè)試的一些基本類型。然后使用“測(cè)試鎖”的比喻來(lái)解釋這種技術(shù)的具體細(xì)節(jié)。給出了可用工具的列表，并探討了一組最佳實(shí)踐，以便以合乎道德、有效和安全地進(jìn)行模糊測(cè)試。

模糊測(cè)試的類型

模糊測(cè)試是一種通用的軟件測(cè)試技術(shù)，可根據(jù)方法論和對(duì)被測(cè)軟件的了解程度分為幾種類型。每種模糊測(cè)試都有其獨(dú)特的方法，適用于不同的測(cè)試場(chǎng)景。

1.黑盒模糊測(cè)試

· 定義：黑盒模糊測(cè)試是在不了解被測(cè)軟件的內(nèi)部結(jié)構(gòu)或?qū)崿F(xiàn)細(xì)節(jié)的情況下進(jìn)行的。測(cè)試人員將軟件視為接收輸入并生成輸出的黑盒。

· 方法：它涉及生成隨機(jī)輸入或使用預(yù)定義數(shù)據(jù)集來(lái)測(cè)試軟件。主要目標(biāo)是觀察軟件在意外或格式錯(cuò)誤的輸入下的行為。

· 用例：黑盒模糊測(cè)試通常用于無(wú)法訪問(wèn)源代碼的情況，例如專有或第三方應(yīng)用程序。它也常用于 Web 應(yīng)用程序測(cè)試。

2. 白盒模糊測(cè)試

· 定義：白盒模糊測(cè)試需要徹底了解程序的源代碼。測(cè)試人員利用這些知識(shí)來(lái)創(chuàng)建更復(fù)雜、更有針對(duì)性的測(cè)試用例。

· 方法：通常需要進(jìn)行靜態(tài)代碼分析，以了解程序流程并識(shí)別潛在的漏洞區(qū)域。然后針對(duì)這些區(qū)域設(shè)計(jì)輸入。

· 用例：白盒模糊測(cè)試非常適合對(duì)特定組件進(jìn)行深入測(cè)試，尤其是在源代碼可用的情況下。它廣泛用于開(kāi)發(fā)環(huán)境和安全審計(jì)。

3.灰盒模糊測(cè)試

· 定義：灰盒模糊測(cè)試是一種介于黑盒模糊測(cè)試和白盒模糊測(cè)試之間的混合方法。它需要對(duì)軟件的內(nèi)部工作原理有一定的了解，但不像白盒模糊測(cè)試那樣詳細(xì)。

· 方法：這種類型的模糊測(cè)試可能使用經(jīng)過(guò)檢測(cè)的二進(jìn)制文件或部分源代碼訪問(wèn)權(quán)限。測(cè)試人員通常擁有足夠的信息來(lái)創(chuàng)建比黑盒模糊測(cè)試更有意義的測(cè)試用例，但不需要白盒模糊測(cè)試所需的全面理解。

· 用例：灰盒模糊測(cè)試在集成測(cè)試和可訪問(wèn)部分代碼的復(fù)雜應(yīng)用程序的安全測(cè)試中特別有效。

4.基于變異的模糊測(cè)試

· 定義：基于變異的模糊測(cè)試涉及修改現(xiàn)有數(shù)據(jù)輸入以創(chuàng)建新的測(cè)試用例。它從一組預(yù)先存在的輸入數(shù)據(jù)(稱為種子輸入)開(kāi)始，然后應(yīng)用各種變異來(lái)生成新的測(cè)試輸入。

· 方法：常見(jiàn)的變異包括翻轉(zhuǎn)位、更改字節(jié)值或重新排列數(shù)據(jù)序列。此方法依賴于種子輸入的質(zhì)量和多樣性。

· 用例：當(dāng)已有一套全面的有效輸入可用時(shí)，該方法被廣泛使用。這種方法在有效輸入略有改變時(shí)，可以有效地發(fā)現(xiàn)軟件行為的偏差。

5.基于生成的模糊測(cè)試

· 定義：基于生成的模糊測(cè)試根據(jù)有效輸入格式的模型或規(guī)范從頭開(kāi)始創(chuàng)建測(cè)試輸入。

· 方法：測(cè)試人員利用有關(guān)輸入格式(如協(xié)議規(guī)范、文件格式或 API 契約)的知識(shí)來(lái)生成符合或有意偏離這些規(guī)范的輸入。

· 用例：這種方法對(duì)于測(cè)試具有明確定義的輸入格式的系統(tǒng)特別有用，例如編譯器、解釋器或協(xié)議實(shí)現(xiàn)。

每種模糊測(cè)試類型都有其特定的應(yīng)用和優(yōu)勢(shì)。模糊測(cè)試方法的選擇取決于多種因素，例如源代碼的可用性、所需的測(cè)試深度以及被測(cè)軟件的性質(zhì)。在實(shí)踐中，結(jié)合不同的模糊測(cè)試技術(shù)可以產(chǎn)生最全面的結(jié)果，涵蓋各種潛在的漏洞和故障場(chǎng)景。

理解模糊測(cè)試：測(cè)試鎖

想象一下，您正在測(cè)試一把鎖的耐用性和質(zhì)量——這臺(tái)設(shè)備設(shè)計(jì)有特定的規(guī)則和機(jī)制，就像軟件代碼一樣。在這個(gè)比喻中，模糊測(cè)試就像試圖用大量隨機(jī)生成或以各種方式更改的鑰匙來(lái)解鎖它。這些鑰匙的制作目的并不是完美地適合鎖;相反，它們是為了測(cè)試鎖對(duì)意外或錯(cuò)誤輸入的反應(yīng)。

模糊測(cè)試過(guò)程：密鑰生成和測(cè)試

· 隨機(jī)密鑰創(chuàng)建(黑盒模糊測(cè)試)：在此，您盲目地制作密鑰，對(duì)鎖的內(nèi)部機(jī)制一無(wú)所知。這種方法類似于黑盒模糊測(cè)試，您通過(guò)向軟件拋出隨機(jī)數(shù)據(jù)來(lái)測(cè)試軟件，以查看其反應(yīng)。您不關(guān)心鎖的設(shè)計(jì)細(xì)節(jié);您更感興趣的是任何奇怪的鑰匙形狀或尺寸是否會(huì)引起意外反應(yīng)，例如卡住或轉(zhuǎn)動(dòng)鎖。

· 精心設(shè)計(jì)的鑰匙設(shè)計(jì)(白盒模糊測(cè)試)：在這種情況下，您有鎖的藍(lán)圖。有了這些知識(shí)，您就可以創(chuàng)建專門(mén)用于測(cè)試鎖的弱點(diǎn)或限制的鑰匙。這類似于軟件測(cè)試中的白盒模糊測(cè)試，您可以利用對(duì)軟件代碼的理解來(lái)創(chuàng)建高度針對(duì)性的測(cè)試輸入。

· 兩者結(jié)合(灰盒模糊測(cè)試)：在這里，您對(duì)鎖有一些了解，可能是它的品牌或它通常接受的鑰匙類型。您可以使用這些信息來(lái)指導(dǎo)您的隨機(jī)密鑰生成過(guò)程。這類似于灰盒模糊測(cè)試，它使用一些軟件知識(shí)來(lái)創(chuàng)建比隨機(jī)測(cè)試更有效的測(cè)試用例，但不需要像白盒模糊測(cè)試那樣詳細(xì)地了解。

可用的模糊測(cè)試工具

有幾種著名的模糊測(cè)試工具可用，每種工具都針對(duì)不同類型的模糊測(cè)試和各種軟件漏洞。

1. 美國(guó)毛垂耳兔(AFL)

· 類型：灰盒模糊測(cè)試器

· 描述： AFL 是最流行的模糊測(cè)試工具之一，以高效著稱。它使用遺傳算法自動(dòng)發(fā)現(xiàn)新的測(cè)試用例。AFL 特別擅長(zhǎng)查找內(nèi)存損壞錯(cuò)誤，在安全和軟件開(kāi)發(fā)社區(qū)中得到廣泛使用。

2. LibFuzzer

· 類型：白盒模糊測(cè)試器

· 描述： LibFuzzer 是 LLVM 項(xiàng)目的一部分，是一個(gè)用于對(duì)其他庫(kù)進(jìn)行進(jìn)程內(nèi)覆蓋引導(dǎo)進(jìn)化模糊測(cè)試的庫(kù)。它對(duì)于測(cè)試可以隔離到庫(kù)中的代碼特別有效。

3. OSS-Fuzz

· 類型：持續(xù)模糊測(cè)試即服務(wù)

· 描述： OSS-Fuzz 是 Google 為開(kāi)源項(xiàng)目提供的免費(fèi)服務(wù)。它與 AFL 和 LibFuzzer 等其他模糊測(cè)試工具集成，以持續(xù)測(cè)試目標(biāo)軟件并報(bào)告發(fā)現(xiàn)的任何錯(cuò)誤。

4. Peach Fuzzer

· 類型：基于生成的模糊測(cè)試器

· 描述： Peach 是一個(gè)用于對(duì)網(wǎng)絡(luò)協(xié)議、文件格式和 API 進(jìn)行模糊測(cè)試的框架。它具有高度可定制性，允許測(cè)試人員定義自己的數(shù)據(jù)模型來(lái)生成測(cè)試輸入。

5. Fuzzilli

· 類型：灰盒模糊測(cè)試器

· 描述： Fuzzilli 是一款JavaScript引擎模糊測(cè)試工具，專注于查找 V8(Chrome、Node.js)和 JavaScriptCore(Safari)等 JavaScript 引擎中的錯(cuò)誤。它使用一種獨(dú)特的方法來(lái)生成和改變 JavaScript 程序。

6. Boofuzz

· 類型：網(wǎng)絡(luò)協(xié)議模糊測(cè)試器

· 描述： Boofuzz 是 Sulley Fuzzing Framework 的一個(gè)分支，是一款易于使用的網(wǎng)絡(luò)協(xié)議模糊測(cè)試工具。它允許測(cè)試人員定義自定義網(wǎng)絡(luò)協(xié)議規(guī)范以進(jìn)行測(cè)試。

7. 拉達(dá)姆薩

· 類型：基于變異的模糊測(cè)試器

· 描述： Radamsa 是一款通用模糊測(cè)試器，能夠生成各種基于變異的測(cè)試輸入。它對(duì)于測(cè)試處理文本、二進(jìn)制文件或結(jié)構(gòu)化數(shù)據(jù)等復(fù)雜輸入的軟件特別有用。

8. Burp Suite 入侵者

· 類型：主要是黑盒模糊測(cè)試器

· 描述：作為 Burp Suite 工具集的一部分，Intruder 模塊用于 Web 應(yīng)用程序模糊測(cè)試。它非常適合通過(guò)自動(dòng)執(zhí)行針對(duì) Web 參數(shù)的自定義攻擊來(lái)測(cè)試 Web 應(yīng)用程序。

9. 爵士樂(lè)手

· 類型：白盒模糊測(cè)試器

· 描述： Jazzer 可讓開(kāi)發(fā)人員使用 LibFuzzer 查找Java應(yīng)用程序中的錯(cuò)誤。它特別適合使用 Java 或基于 JVM 的語(yǔ)言的項(xiàng)目。

最佳實(shí)踐

模糊測(cè)試需要仔細(xì)規(guī)劃和執(zhí)行，以確保其有效且負(fù)責(zé)任。以下是一些值得考慮的最佳實(shí)踐。

1. 道德考量

· 負(fù)責(zé)任的測(cè)試：在對(duì)不屬于您的系統(tǒng)進(jìn)行模糊測(cè)試之前，請(qǐng)務(wù)必獲得許可。未經(jīng)授權(quán)的測(cè)試，即使是出于善意，也可能是非法和不道德的。

· 數(shù)據(jù)敏感性：模糊測(cè)試處理敏感數(shù)據(jù)的應(yīng)用程序時(shí)要小心謹(jǐn)慎。確保測(cè)試不會(huì)損害數(shù)據(jù)隱私或完整性。

· 避免在實(shí)時(shí)系統(tǒng)上進(jìn)行破壞性測(cè)試：如果您正在測(cè)試實(shí)時(shí)系統(tǒng)，請(qǐng)規(guī)劃您的測(cè)試以盡量減少破壞性。模糊測(cè)試可能會(huì)導(dǎo)致系統(tǒng)崩潰或無(wú)響應(yīng)，這對(duì)生產(chǎn)環(huán)境來(lái)說(shuō)可能是個(gè)問(wèn)題。

· 告知利益相關(guān)者：確保所有利益相關(guān)者都了解測(cè)試及其潛在影響。這包括系統(tǒng)管理員、安全團(tuán)隊(duì)和用戶群。

· 法律合規(guī)：遵守相關(guān)法律法規(guī)，特別是與網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)相關(guān)的法律法規(guī)。

2. 全面覆蓋

· 多樣化的技術(shù)：采用各種模糊測(cè)試技術(shù)(黑盒、白盒、灰盒等)來(lái)覆蓋不同的攻擊媒介和場(chǎng)景。

· 跨不同層進(jìn)行測(cè)試：不僅要測(cè)試應(yīng)用層，還要測(cè)試網(wǎng)絡(luò)、數(shù)據(jù)存儲(chǔ)和 API(如果適用)。這可確保全面評(píng)估系統(tǒng)的彈性。

· 輸入多樣性：使用各種各樣的輸入數(shù)據(jù)，包括意外和格式錯(cuò)誤的數(shù)據(jù)，來(lái)測(cè)試系統(tǒng)如何處理不同的場(chǎng)景。

· 盡可能實(shí)現(xiàn)自動(dòng)化：自動(dòng)化可以幫助生成大量不同的測(cè)試用例，確保更全面的覆蓋。

· 迭代方法：根據(jù)之前的測(cè)試結(jié)果不斷完善模糊測(cè)試策略。這種迭代方法有助于覆蓋新領(lǐng)域并提高測(cè)試效率。

3.持續(xù)監(jiān)測(cè)

· 實(shí)時(shí)監(jiān)控：實(shí)施監(jiān)控工具，在模糊測(cè)試期間實(shí)時(shí)跟蹤系統(tǒng)的性能和行為。這有助于及時(shí)發(fā)現(xiàn)崩潰、掛起或性能下降等問(wèn)題。

· 記錄和文檔：確保系統(tǒng)地記錄所有模糊測(cè)試活動(dòng)和觀察到的異常。此文檔對(duì)于調(diào)試和將來(lái)參考至關(guān)重要。

· 資源利用率監(jiān)控：關(guān)注系統(tǒng)資源(CPU、內(nèi)存、磁盤(pán)使用情況等)，以檢測(cè)潛在的資源泄漏或性能瓶頸。

· 警報(bào)機(jī)制：設(shè)置警報(bào)系統(tǒng)，如果在模糊測(cè)試期間檢測(cè)到嚴(yán)重問(wèn)題或異常，則通知相關(guān)團(tuán)隊(duì)。

· 后續(xù)分析：模糊測(cè)試后，對(duì)結(jié)果進(jìn)行徹底分析。調(diào)查任何故障的根本原因并記錄所吸取的教訓(xùn)。

遵守這些最佳實(shí)踐有助于以合乎道德、有效且安全的方式進(jìn)行模糊測(cè)試。這需要在積極測(cè)試軟件以發(fā)現(xiàn)隱藏的漏洞與以負(fù)責(zé)任的方式進(jìn)行測(cè)試并注意潛在影響之間取得平衡。

總結(jié)

就像用多把鑰匙測(cè)試一把鎖可以揭示其優(yōu)缺點(diǎn)一樣，模糊測(cè)試可以測(cè)試軟件的穩(wěn)健性和安全性。這是一種用意外條件探測(cè)軟件的方法，就像用一組非常規(guī)鑰匙挑戰(zhàn)一把鎖一樣。這種方法有助于發(fā)現(xiàn)在標(biāo)準(zhǔn)測(cè)試程序下隱藏的漏洞，確保軟件(如一把好鎖)僅在正確的條件下按預(yù)期響應(yīng)。