定向灰盒fuzzing工具BEACON

BEACON是来自香港科技大学张川老师团队的研究成果，发表于S&P'22。张川老师负责的网络安全实验室在动态/静态/并发程序分析，漏洞挖掘等方面成果比较多，很注重研究成果落地和业界影响力，和工业界蚂蚁/华为保持多年的合作。

概述

近年来定向灰盒fuzzing研究比较多。大部分fuzzer在运行过程中，往往要具体执行许多无法到达目标代码的程序路径，浪费了大量的计算资源，影响执行效率。以AFLGo为例，在24小时内对不同CVE执行的不可达路径测试占比如下图1，均超过95%。

 

 

BEACON提出的方法可以有效引导执行路径，辅以轻量级静态分析，计算到目标的抽象前置条件，从而在运行时删除大量不可行的执行路径（82.94%）。

BEACON与五种最先进的定向fuzzer在漏洞复现中的比较结果显示，BEACON比现有的定向灰盒fuzzer平均快11.50倍，并能提高传统覆盖率引导的fuzzer（AFL、AFL++和Mopt）重现特定bug的速度，分别提高了6.31倍、11.86倍和10.92倍。在测试漏洞补丁时，BEACON发现了14个对现有CVE的不完整修复，以及8个新的bug，其中10个分配了新的CVE ID。

提出方法：通过轻量级的静态分析，可以计算出直接使目标路径不可行的变量的合理近似值。有了这个近似值，fuzzer可以拒绝fuzzing测试期间80% 以上的不可行路径，包括无法到达CFG中指定目标的路径，还包括拓扑可达但条件不满足的路径。

Key idea：静态分析计算出合理的中间程序状态，以一阶逻辑的形式表达，作为执行到达目标的前置条件。任何违反这些中间状态的执行立即终止。

中间程序状态是作为最弱前置条件的近似来计算的，给定控制流图上的一个目标程序点 l 和另一个程序点 p ，最弱前置条件wp(p,l)对 p 处能够保证 l 的可达性，从而限制最少的前置条件。wp(p,l) 通常表示为p之前定义的程序变量的一阶逻辑公式，任何到达p的路径不满足wp(p,l) 都可以在fuzzing过程中安全修剪。我们使用 li 表示源代码第 i 行之后的程序位置。

例如，如下图2， wp（l13，l18），任何到达第14