AFL实践记录
虚拟机:Ubuntu 18.04
参考fuzzing工具之AFL的安装与使用
AFL工作原理简介
使用afl-gcc编译工程代码,然后以文件(尽量 <1K)为输入,然后启动afl-fuzz程序,将testcase(seed) 喂给程序代码,然后程序接收此次输入执行程序,如果发现新的路径则保存此testcase到一个queue中,afl-fuzz继续编译testcase,因此程序每次接收不同的输入,如果程序崩溃,则记录crash。
AFL Fuzzing步骤
使用afl-gcc编译项目代码,将编译脚本中的CC=afl-gcc/CXX=afl-g++;
新建两个文件夹,如fuzz_in/fuzz_out,文件夹名随意;
将初始化testcase放到fuzz_in目录下;
执行afl-fuzz -i fuzz_in -o fuzz_out ./xxx @@ xxx为可执行程序名,@@表示从文件中读入
观察fuzzing结果,如有crash,定位问题
AFL安装与使用
git clone https://github.com/mirrorer/afl
问题
fatal: unable to access ‘https://github.com/mirrorer/afl/’: Could not resolve host: github.com
解决
git config --global --unset http.proxy
git config --global --unset https.proxy
需要root权限
make # 编译 afl
sudo make install
在指定目录下检查LLVM和CLANG是否安装:
sudo apt-get install clang
sudo apt-get install llvm
问题
E: Could not get lock /var/lib/dpkg/lock-frontend - open (11: Resource temporarily unavailable)
解决
参考https://blog.csdn.net/lun55423/article/details/108907779
fuzzing
简单fuzzing
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <signal.h>
int vuln(char *str)
{
int len = strlen(str);
if(str[0] == 'A' && len == 66)
{
raise(SIGSEGV);
//如果输入的字符串的首字符为A并且长度为66,则异常退出
}
else if(str[0] == 'F' && len == 6)
{
raise(SIGSEGV);
//如果输入的字符串的首字符为F并且长度为6,则异常退出
}
else
{
printf("it is good!\n");
}
return 0;
}
int main(int argc, char *argv[])
{
char buf[100]={0};
gets(buf);//存在栈溢出漏洞
printf(buf);//存在格式化字符串漏洞
vuln(buf);
return 0;
}
总的流程概述:
首先是用afl-gcc编译源代码,然后以文件(最好小于1K)为输入,然后启动afl-fuzz程序,将testcase(输入的测试文件)作为程序的输入执行程序,afl会在这个testcase的基础上进行自动变异输入,使得程序产生crash,产生了crash就会被记录起来
编译
afl-gcc -g -o afl_test test.c
同样的,如果是编译一个c++的源码,那就需要用afl-g++
接着建立两个文件夹:fuzz_in和fuzz_out,用来存放程序的输入和fuzz的输出结果
在fuzz_in中还需要创建一个testcase文件,在这个程序的例子里,只需要随便输入一点东西就行了,那么testcase中就写aaa就可以了
开始fuzz
afl-fuzz -i fuzz_in -o fuzz_out ./afl_test
表示,从fuzz_in中读取输入,输出放入fuzz_out中,afl_test是我们要进行fuzz的程序,-f参数表示:testcase的内容会作为afl_test的stdin
接下来一般都会报错:
需要根据提示设置一波core_pattern:
sudo su
echo core >/proc/sys/kernel/core_pattern
AFL界面
官方文档
分析crash
可以去我们先前建立的fuzz_out目录:
crashes文件夹里面是我们产生crash的样例,hangs里面是产生超时的样例,queue里面是每个不同执行路径的测试用例
(看不懂