技术科普|模糊测试背后的2个核心逻辑-CSDN博客

本文链接：https://blog.csdn.net/2401_84466336/article/details/139829716

数字时代，万物变革，软件定义世界。软件几乎在我们生活的方方面面都发挥着至关重要的作用。从智能手机中使用的应用程序到运行计算机的操作系统，都是我们日常生活中不可或缺的一部分。然而，随着软件系统越来越复杂，如何保证其安全性和稳定性成为一大挑战。为应对这一问题，模糊测试（Fuzzing）得到了诸多关注，越来越多的企事业单位开始采用模糊测试技术对软件系统进行测试，确保其稳定运行。

模糊测试是一种自动化的测试技术，在测试过程中模糊测试引擎可自动生成亿万级的测试数据并发送给被测系统，通过实施监控被测程序的测试执行情况，可高效、精准地发现被测系统中的各类缺陷。与传统测试方法（例如手动测试或单元测试）相比，模糊测试的粒度更细，程序执行覆盖度更高，在提高软件质量和可靠性方面发挥着关键作用。其之所以有如此惊艳的表现，其实可以从组合学和非预期输入两个角度来解释。

1.组合学

组合学是一个不常见的词，可能大多数人对它并不熟悉。但它在密码学、概率论、计算机科学、统计学等领域中都有着很多的应用。比如，它可以用来研究随机事件发生的概率、设计高效的算法、构建数据结构、进行统计分析等。Wolfram MathWorld 将组合学定义为“研究元素集的枚举、组合和排列的数学分支”。通俗的讲组合学就是关于“选”和“摆”的数学学科。在组合学中，研究的问题通常都是关于如何从一组元素中选取一定数量的元素，以及这些元素可能的排列和组合方式。

举个简单的例子，当我们在某品牌官网上定制运动鞋时，定制平台在鞋面、鞋跟、鞋舌、鞋带、鞋底、鞋标等方面为我们提供定制服务，在颜色选择上，鞋子的每个部分都有13种颜色任由客户选择搭配，并且鞋底还可以选择两种不同的材质（再生材质、天然橡胶），除鞋底、鞋带，其他部分还可以分别选择皮革、帆布或者缎面材质。各种各样颜色与材质组合满足了客户的各种喜好以及追求个性的需求。然而，您有没有想过一个问题，这款运动鞋究竟有多少种选择的可能性？答案是（313）^413*26=781943058种选择性，这很好地说明了虽然我们只能对运动鞋的6个部分进行设计和选择，但其中却隐藏着数以亿计的组合可能。

在软件测试领域，程序就像一个庞大的迷宫，而程序的运行，就像在迷宫中走过各个分支与岔口，这其中潜藏着无比庞大的组合。随着岔口的增加，可能触发不同情况的组合数量也会迅速增加。当有数以亿计的选项组合要测试时，传统的单元测试方法就不再适用，而模糊测试基于遗传变异算法生成数以亿计的高质量测试用例，可以对软件进行快速测试，最大程度地覆盖程序中的各种“组合”，从而有效发现潜藏在更深层次的安全缺陷。

2.非预期输入

顾名思义非预期输入指的是程序或系统在设计时未考虑到的输入。这些输入可能是错误的、恶意的、无效的、异常的或不符合规范的数据，也可能是意外的环境变化，如网络中断、硬件故障等。非预期输入可能导致程序出现意想不到的行为，包括崩溃、数据损坏、安全漏洞、拒绝服务等问题。对于开发者来说，处理非预期输入是非常重要的，为了提升系统的健壮性与安全性，应该考虑在程序中添加足够的输入验证和错误处理机制来处理这些情况。

然而在对复杂系统进行测试时，即使是顶尖的安全专家也无法非常全面地考虑到各种非预期情况。相比之下，模糊测试不需要安全专家准确定义各种非预期的情况，而是尝试在系统可接收的范围内对输入进行针对性变异或随机变异，这些变异后的输入能有效模拟各类非预期情况，进而检测隐藏在更深层次的系统缺陷。

通过将组合学和非预期输入相结合，模糊测试可以生成更加全面和有效的测试用例，提高测试的覆盖率和深度，发现已知和未知的系统缺陷。

不仅如此，模糊测试还有如下特点，也让该技术在软件的安全性和稳定性方面得到更多的发挥。

自动化：模糊测试通常可以自动化执行，减少测试人员的工作量，提高测试效率。
灵活性：模糊测试可以适用于不同类型的应用程序，包括Web 应用程序、操作系统、数据库、API等，具有很高的灵活性。
零误报：动态运行的测试方式确保所有检出缺陷均可完整复现，误报率近乎为零。

简言之，模糊测试是检测软件系统安全性与稳定性的重要技术。它相比传统测试方法可以更快、更有效地识别系统缺陷。随着模糊测试在众多领域的不断发展与落地，它已成为软件开发和安全测试中的重要工具和方法，并为构建更加安全可靠的软件生态系统做出了突出贡献。

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。