AFL入门教学

1、AFL简介

• AFL（American Fuzzy Lop）是一个面向安全的模糊测试工具，它使用了一个新的编译时插桩技术和遗传算法，可以自动发现触发目标二进程程序的测试用例，从而大大提高测试代码的功能覆盖率。 
  • AFL官网：american fuzzy lop (coredump.cx)american fuzzy lop (coredump.cx)american fuzzy lop (coredump.cx)
• Github仓库：google/AFL: american fuzzy lop - a security-oriented fuzzer (github.com)
• AFL的工作原理可以概括为以下几个步骤：
  • 编译阶段：AFL在源码编译时进行插桩，用于在运行时追踪程序执行路径。这使得AFL可以监控目标程序的代码覆盖率。
  • 初始化阶段：使用一些输入用例作为初始化测试集，这些初始用例可以让AFL了解程序的一些基本代码路径。
  • 变异阶段：AFL使用遗传算法对测试用例进行变异，生成大量不同的测试用例，以探索新的程序执行路径。
  • 执行阶段：AFL使用生成的测试用例执行目标程序，并通过插桩代码监控新的代码覆盖情况。
  • 更新阶段：根据测试用例执行结果，AFL保存提供更好代码覆盖的测试用例，同时丢弃没有用的测试用例。
  • 重复阶段：上述过程会一直循环进行，期间触发了crash的文件会被记录下来。
• 测试用例变异方式：
  • bitflip：按位翻转，1变为0，0变为1。
  • arithmetic：整数加/减算术运算。
  • interest：把一些特殊内容替换到原文件中。
  • dictionary：把自动生成或用户提供的块替换/插入到原文件中。
  • havoc：前面几种变异的组合。
  • splice：将两个文件拼接起来得到一个新的文件。

2、AFL安装

• 【前提】这里使用的是WSL的Ubuntu-22.04系统。
• 从官网中下载源代码。
• 
• 将下载好的解压包移到Ubuntu的根目录下。
  • 
• 打开Ubuntu终端，输入解压命令。

  •  tar xvf afl-latest.tgz

  • 
• 解压成功后，可以在根目录看到解压后的文件夹。
  • 
• 进入该文件夹，并编译AFL。

  • cd afl-2.52b
    sudo make install
    

  • 【注】运行后报错，sudo: make: command not found。
    • 
    • 解决办法：
      • 执行下面命令。

      • sudo apt-get update
        sudo apt-get install make

      • 

      • 
• 再次编译AFL。
  • 【注】运行后报错，make: *** [Makefile:53: test_x86] Error 1。
    • 
    • 解决办法：

      • sudo apt-get install gcc

      • 
• 再次编译AFL，编译成功。
  • 
• 可以在“/usr/local/bin”路径下找到AFL。

  • ls /usr/local/bin

  • 

3、AFL使用

3.1、准备被测程序

• 首先准备一个被测程序，这里使用一个简单的c程序test.c进行测试。

  • /* 功能：两数加减乘除（一个整数、一个字符、再一个整数），然后根据中间这个字符当作运算符，输出四则运算结果。 */
    #include 
    
    int main(int argc, char *argv[])
    {
        int a, b;
        char op;
        int result;
        if(scanf("%d%c%d", &a, &op, &b)){
            switch (op) {
                case '+':
                    result = a + b;
                    break;
                case '-':
                    result = a - b;
                    break;
                case '*':
                    result = a * b;
                    break;
                case '/':
                    result = a / b;
                    break;
                default:
                    return 1;
            }
        }
        printf("%d\n", result);
        return 0;
    }

3.2、插桩编译

• 进入程序所在的文件夹，执行下列命令。

  • afl-gcc -o test test.c

  • 
  • 

3.3、准备种子池

• 作为模糊测试，AFL需要提供初始的种子输入。但实际上，提供任何无意义的输入作为种子，模糊测试也一般能达到效果，只不过效率会低一些而已。
• 这里我们生成一好一坏两个种子池。

  • mkdir good_seeds bad_seeds
    echo '1+2' > good_seeds/any_seed
    echo 'bad seed' > bad_seeds/any_seed

  • 
  • 

3.4、开始测试

• 首先使用好的种子池进行测试。

  • afl-fuzz -i good_seeds/ -o good_outputs ./test

  • 
  • 输出一段信息后呈现如下界面，表示fuzz已经开始了，可以在该界面中查看运行时间、崩溃数量等信息。
  • 
  • 上图中显示已经找到了一个crash了，ctrl+c结束fuzz，可以看到当前目录下已经多出了一个good_outputs目录，这是本次模糊测试的结果。
  • 
  • 引起崩溃的测试用例位于good_outputs/crashes文件夹下。
  • 
  • 打开可以看到引起崩溃的用例。
• 再使用另一个坏的种子池进行测试。

  • afl-fuzz -i bad_seeds/ -o bad_outputs ./test

  • 
  • 同样可以找到引起崩溃的用例，只不过时间会更久一些。