为什么世界上最大的公司都实施模糊测试？

一些世界上最大和最受尊敬的组织正在实施模糊测试作为其质量控制和网络安全运营的一部分：

Google 使用模糊测试来检查和保护 Chrome 中的数百万行代码。2019年，谷歌通过内部模糊测试发现了Chrome浏览器中超过2万个漏洞。

Microsoft 使用模糊测试作为其软件开发生命周期的阶段之一，以查找漏洞并提高其产品的稳定性。

美国国防部 (DoD) 发布了 DevSecOps 参考设计和应用程序安全指南都要求模糊测试作为软件开发过程的标准部分。

这些组织和许多其他组织正在将模糊测试纳入其标准开发流程，原因如下：

1、模糊测试不仅可以识别问题，还可以显示问题的原因以及攻击者在现实攻击中如何与之交互。

2、模糊测试证明存在漏洞，无需筛选误报即可识别问题。

3、模糊测试是完全自动化的，可以独立运行数天甚至数周，识别被测系统中越来越多的漏洞。

4、模糊测试对于开发人员来说非常有用。开发人员的作用是开发和改进产品功能。传统的安全工具仅指出缺陷，而模糊测试器则显示缺陷的结果并展示解决该缺陷的影响。

模糊测试工具的类型

模糊测试工具可以分为四种基本类型。

基于语法的 Fuzz与变异模糊测试

基于语法的模糊器或突变模糊器是根据它们处理测试用例生成的方式来定义的。一些模糊器结合了这两种方法。

基于语法的模糊器从提供的模型生成新的测试用例。测试人员定义一个“语法”，指定应用程序接受的输入格式，并可以定义输入的哪些部分应该进行模糊测试。模糊器使用此模型生成大量输入，这些输入与合法输入类似，但违反了一些应用程序的约束。

突变模糊器会随机突变提供的种子输入对象。它们不受特定模型的约束，并通过生成大量不寻常的输入而“发疯”。这可以非常成功地识别用户在基于语法的模糊器中可能未指定的新错误或执行路径。

黑盒与白盒模糊测试

模糊器也可以分为黑盒或白盒方法。

黑盒模糊器无法访问程序工件，更常被网络安全研究人员用于寻找商业产品中的漏洞。黑盒模糊测试随机改变程序输入并观察程序如何对其做出反应。它可以非常有效地发现新的错误和安全问题。

根据定义，白盒模糊器需要访问程序源代码。它们通常由负责系统的组织的红队或软件测试小组使用。白盒模糊测试涉及扫描程序并识别条件分支和输入约束。然后，模糊器系统地违反每个约束并评估响应。这是一个非常全面的过程，理论上可以访问程序所有可能的执行路径。它通常可以比黑盒方法发现更多的错误，但其不足之处在于它没有从外部攻击者的角度来测试软件。

“智能模糊测试产品—XFuzz”是泛联新安面向动态漏洞挖掘方向的旗舰产品之一，其研发团队成员来自中科院、国防科技大学、清华大学等国内知名研究型院校，将学术界与工业界的特点结合，基于模糊测试技术领域的技术积累，采用大规模分布式并行技术、智能调度算法、自动化漏洞挖掘，极大地解放安全研究员的生产力，提高漏洞挖掘的效率，产品性能已达到国内领先。并且产品正积极的推动各领域软件的结合适配，在IOT、协议、语言处理器等领域进行了有效的漏洞挖掘。作为新兴的信安基础软件，XFuzz产品实力强劲，已收获诸多客户认可。