AFL(American Fuzzy Lop)源码详细解读（8）

已于 2022-06-08 08:17:20 修改
阅读量1k 收藏 1
点赞数 1
分类专栏： AFL源码解读 文章标签： linux c语言 安全漏洞 网络安全 bash
于 2022-06-07 23:40:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_50972562/article/details/125175621
版权

这篇记录 llvm mode 中的 afl-llvm-pass.so.cc 文件和 afl-llvm-rt.o.c 文件，以及整体流程的简述。
对llvm这部分理解还比较浅。
可以阅读大佬的这篇文章：https://eternalsakura13.com/2020/08/23/afl/#more，讲的很透彻。

afl-llvm-pass.so.cc

using namespace llvm;

namespace {
    // 在命名空间中定义一个继承自ModulePass的类AFLCoverage。ModulePass是最通用的一个父类，继承该类表明此Pass将整个程序作为一个单元
    // 因此选择继承不同类型的Pass父类就是从不同的粒度对程序进行处理。这里选择继承ModulePass就是对整个程序都进行处理。
  class AFLCoverage : public ModulePass {

    public:

      static char ID;   					// LLVM识别Pass的标识符
      AFLCoverage() : ModulePass(ID) { }

      bool runOnModule(Module &M) override;

      // StringRef getPassName() const override {
      //  return "American Fuzzy Lop Instrumentation";
      // }

  };

}


char AFLCoverage::ID = 0;


bool AFLCoverage::runOnModule(Module &M) {

  LLVMContext &C = M.getContext();  // 获取线程上下文

  IntegerType *Int8Ty  = IntegerType::getInt8Ty(C);
  IntegerType *Int32Ty = IntegerType::getInt32Ty(C);

  /* Show a banner */
  // 打印banner
  char be_quiet = 0;

  if (isatty(2) && !getenv("AFL_QUIET")) {

    SAYF(cCYA "afl-llvm-pass " cBRI VERSION cRST " by <lszekeres@google.com>\n");

  } else be_quiet = 1;

  /* Decide instrumentation ratio   设置插桩密度 */

  char* inst_ratio_str = getenv("AFL_INST_RATIO");  // 获取环境变量
  unsigned int inst_ratio = 100;

  if (inst_ratio_str) {     // 如果环境变量存在
      // 检查环境变量的值是否合法
    if (sscanf(inst_ratio_str, "%u", &inst_ratio) != 1 || !inst_ratio ||
        inst_ratio > 100)
      FATAL("Bad value of AFL_INST_RATIO (must be between 1 and 100)");

  }

  /* Get globals for the SHM region and the previous location. Note that
     __afl_prev_loc is thread-local.   
     获取指向 SHM 区域和上一个块ID的全局变量指针。 注意 __afl_prev_loc 是线程本地的 
     */

  GlobalVariable *AFLMapPtr =       
      new GlobalVariable(M, PointerType::get(Int8Ty, 0), false,
                         GlobalValue::ExternalLinkage, 0, "__afl_area_ptr");

  GlobalVariable *AFLPrevLoc = new GlobalVariable(
      M, Int32Ty, false, GlobalValue::ExternalLinkage, 0, "__afl_prev_loc",
      0, GlobalVariable::GeneralDynamicTLSModel, 0, false);

  /* Instrument all the things! */

  int inst_blocks = 0;

  for (auto &F : M)     	// 遍历Module中的每个
    for (auto &BB : F) {    // 遍历Function中的每个BasicBlock

      BasicBlock::iterator IP = BB.getFirstInsertionPt();
      IRBuilder<> IRB(&(*IP));

      if (AFL_R(100) >= inst_ratio) continue;   // 以一定概率进行插桩

      /* Make up cur_loc */

      unsigned int cur_loc = AFL_R(MAP_SIZE);   // 随机生成当前块的ID

      ConstantInt *CurLoc = ConstantInt::get(Int32Ty, cur_loc);

      /* Load prev_loc */
      // 加载前驱块的ID
      LoadInst *PrevLoc = IRB.CreateLoad(AFLPrevLoc);
      PrevLoc->setMetadata(M.getMDKindID("nosanitize"), MDNode::get(C, None));
      Value *PrevLocCasted = IRB.CreateZExt(PrevLoc, IRB.getInt32Ty());

      /* Load SHM pointer */
      // 加载共享内存全局指针
      LoadInst *MapPtr = IRB.CreateLoad(AFLMapPtr);
      MapPtr->setMetadata(M.getMDKindID("nosanitize"), MDNode::get(C, None));
      Value *MapPtrIdx =
          IRB.CreateGEP(MapPtr, IRB.CreateXor(PrevLocCasted, CurLoc));

      /* Update bitmap */
      // 更新位图，将对应位置加1，代表边的执行次数加1
      LoadInst *Counter = IRB.CreateLoad(MapPtrIdx);
      Counter->setMetadata(M.getMDKindID("nosanitize"), MDNode::get(C, None));
      Value *Incr = IRB.CreateAdd(Counter, ConstantInt::get(Int8Ty, 1));
      IRB.CreateStore(Incr, MapPtrIdx)
          ->setMetadata(M.getMDKindID("nosanitize"), MDNode::get(C, None));

      /* Set prev_loc to cur_loc >> 1 */
      // 更新全局变量AFLPrevLoc的值为 当前基本块的ID右移一位
      StoreInst *Store =
          IRB.CreateStore(ConstantInt::get(Int32Ty, cur_loc >> 1), AFLPrevLoc);
      Store->setMetadata(M.getMDKindID("nosanitize"), MDNode::get(C, None));

      inst_blocks++;    // 插桩基本块数量加一

    }

  /* Say something nice. */
  // 打印一些信息
  if (!be_quiet) {

    if (!inst_blocks) WARNF("No instrumentation targets found.");
    else OKF("Instrumented %u locations (%s mode, ratio %u%%).",
             inst_blocks, getenv("AFL_HARDEN") ? "hardened" :
             ((getenv("AFL_USE_ASAN") || getenv("AFL_USE_MSAN")) ?
              "ASAN/MSAN" : "non-hardened"), inst_ratio);

  }

  return true;

}

// 注册Pass
static void registerAFLPass(const PassManagerBuilder &,
                            legacy::PassManagerBase &PM) {

  PM.add(new AFLCoverage());

}


static RegisterStandardPasses RegisterAFLPass(
    PassManagerBuilder::EP_ModuleOptimizerEarly, registerAFLPass);

static RegisterStandardPasses RegisterAFLPass0(
    PassManagerBuilder::EP_EnabledOnOptLevel0, registerAFLPass);

使用下面两条指令可以分别得到插桩前和插桩后的IR文件

clang -emit-llvm -S test.c -o a.ll			 	# a.ll插桩前的IR
afl-clang-fast -emit-llvm -S test.c -o b.ll		# b.ll插桩后的IR

afl-llvm-rt.o.c

根据README文件可知，该文件主要提供了三个额外的功能

deferred instrumentation

AFL会尝试通过仅执行一次目标二进制文件来优化性能。它会暂停控制流，然后复制该“主”进程以持续提供fuzzer的目标。该功能在某些情况下可以减少操作系统、链接与libc内部执行程序的成本。

要想使用这个功能，需要在合适的位置插入如下代码。

#ifdef __AFL_HAVE_MANUAL_CONTROL
 __AFL_INIT();
#endif

需要注意的是，不能在如下几个位置插入上述代码

  • 任何重要线程或子进程的创建 - 因为 forkserver 无法轻松克隆它们。
  • 通过 setitimer() 或等效调用初始化计时器。
  • 临时文件、network sockets、偏移敏感文件描述符和类似的共享状态资源的创建——但前提是它们的状态会有意义地影响以后程序的行为。
  • 对模糊册数输入的任何访问，包括读取有关其大小的元数据。

然后 afl-clang-fast 重新编译即可。需要注意的是afl-gcc 和 afl-clang 是没有这个功能的。 这很容易理解，因为关于 __AFL_HAVE_MANUAL_CONTROL 和 __AFL_INIT() 的定义是在 afl-clang-fast 在处理参数时添加的，再交由真正的编译器处理。回顾上一篇打印出来的afl-clang-fast处理后的参数

在这里插入图片描述

其中__AFL_INIT()展开后大概就是这样。摘自https://eternalsakura13.com/2020/08/23/afl/#more

#define __AFL_INIT() \
 do { \
     static char *_A;  \
     _A = (char*)"##SIG_AFL_DEFER_FORKSRV##"; \
     __afl_manual_init(); \
 } while (0)

可以看到调用了__afl_manual_init，该函数在未初始化的情况下调用__afl_map_shm和__afl_start_forkserver设置共享内存和初始化forkserver

1. __afl_map_shm 设置共享内存

  • 获取环境变量 SHM_ENV_VAR 赋值给 id_str
  • 如果环境变量存在
    • 转换为整数，赋值给shm_id
    • 将共享内存映射到当前进程的地址空间，__afl_area_ptr指向该地址
    • 如果__afl_area_ptr = -1，表示映射失败，退出程序
    • 将共享内存的第一个位置置1。源码注释解释道：在位图中写入一些内容，这样即使 AFL_INST_RATIO 较低，我们的父进程也不会放弃我们

2. __afl_start_forkserver

  • child_stopped = 0
  • 向状态管道中写入4字节，通知fuzzer，fork server准备完毕。tmp无论为何值，只要能正确写入或是读取四个字节就可以。
  • 进入while循环
    • 从控制管道读取父进程传来的命令
    • 如果child_stopped 为 1并且was_killed不为0，表示如果子进程处于暂停状态，并且被kill了，则等待子进程彻底结束
      • 置child_stopped = 0
      • 等待子进程结束
    • 如果child_stopped 为 0
      • fork出一个子进程
      • 子进程关闭状态管道和控制管道，return恢复执行
    • 如果child_stopped为1，这是对于persistent mode的特殊处理，此时子进程还活着，只是被暂停了，所以可以通过kill(child_pid, SIGCONT)来简单的重启，然后设置child_stopped为0。
    • 将PID发送给Fuzzer
    • 等待子进程结束，注意这里在persistent mode时，会设置waitpid的第三个参数为WUNTRACED，代表若子进程进入暂停状态，则该函数马上返回
    • WIFSTOPPED(status)如果子进程的结束状态为暂停，置child_stopped = 1
    • 将子进程的结束状态发送给Fuzzer

persistent mode

该功能也仅适用于 afl-clang-fast

persistent mode的功能是将已经完成fuzz的一个testcase的子进程进行复用，从而节省计算机开销，但是需要注意的是每次fuzz过程都会改变一些进程或线程的状态变量，因此，在复用这个fuzz子进程的时候需要将这些变量恢复成初始状态，否则会导致下一次fuzz过程的不准确。所以状态初始化的工作只对第一个循环做。之后的初始化工作都交给父进程。

程序的基本结构

while (__AFL_LOOP(1000)) {

   /* Read input data. */
   /* Call library code to be fuzzed. */
   /* Reset state. */

 }

循环次数为1000是因为这最大限度地减少了内存泄漏和类似故障的影响，更高的值会增加“打嗝”的可能性，从而没有了性能优势。

__AFL_LOOP也是在 afl-clang-fast 在处理参数时添加的

#define __AFL_LOOP() \
 do { \
     static char *_B; \
     _B = (char*)"##SIG_AFL_PERSISTENT##"; \
     __afl_persistent_loop(); \
 }while (0)

3. __afl_persistent_loop

  • first_pass = 1
  • 如果first_pass 为 1，即表示第一次执行
    • 如果在persistent模式下
      • 共享内存清空为0
      • __afl_area_ptr[0] = 1，应该跟上面__afl_map_shm中最后一步的作用一样
      • __afl_prev_loc = 0，前一个基本块ID置0
    • cycle_cnt 置为max_cnt
    • first_pass 置为0
    • return 1
  • 如果不是第一次执行
    • 如果在persistent模式下
    • cycle_cnt 减1 如果大于0
      • 发出SIGSTOP信号，暂停当前进程
      • __afl_area_ptr[0] = 1
      • __afl_prev_loc = 0
      • return 1
    • 如果cycle_cnt 减1 如果等于 0
      • __afl_area_ptr指向一个虚拟的区域

4. __afl_auto_init

需要注意的是 被 _attribute_ constructor 修饰的函数将在main执行之前自动运行

  • 读取环境变量PERSIST_ENV_VAR的值，赋值给is_persistent，表示以persistent模式fuzz
  • 如果存在环境变量 DEFER_ENV_VAR ，直接返回。这代表__afl_auto_init和deferred instrumentation不通用，因为deferred instrumentation会自己选择合适的时机，手动init，不需要用这个函数来init，所以这个函数只在没有手动init的时候会自动init。
  • 调用__afl_manual_init，该函数在未初始化的情况下调用__afl_map_shm和__afl_start_forkserver设置共享内存和初始化fork server

trace-pc-guard mode

如果想尝试一下这个功能，则需要执行这条代码来重新编译afl-clang-fast，从而在执行afl-clang-fast的时候传入-fsanitize-coverage=trace-pc-guard参数，来开启这个功能，和之前我们的插桩不同，开启了这个功能之后，我们不再是仅仅只对每个基本块插桩，而是对每条edge都进行了插桩。

AFL_TRACE_PC=1 make clean all

5. __sanitizer_cov_trace_pc_guard

__sanitizer_cov_trace_pc_guard这个函数将在每个edge调用，该函数利用函数参数guard指针所指向的uint32值来确定共享内存上所对应的地址。
每个edge上都有应该有其不同的guard值

6. __sanitizer_cov_trace_pc_guard_init

  • inst_ratio插桩概率为100
  • 如果start等于stop或是，直接return
  • 获取环境变量"AFL_INST_RATIO"的值赋给x
  • 如果环境变量存在，转换为整数赋值给inst_ratio
  • 如果inst_ratio的值不合法，抛出异常
  • 遍历start至stop，设置为[1, MAP_SIZE）中的一个随机数，为0则表示对这个edge不进行插桩

整体流程简述

  • 使用afl-clang-fast test.c -o a.out 编译test.c文件后
  • afl-clang-fast 会处理参数，这期间会将 afl-llvm-pass.so 添加到参数当中
  • llvm根据 afl-llvm-pass.so中的代码对文件进行插桩
  • forkserver 是何时启动的呢？注意afl-clang-fast最后还将 afl-llvm-rt.o 添加到参数当中
  • 在afl-llvm-rt.o当中有这么个__attribute__((constructor(CONST_PRIO))) void __afl_auto_init(void)函数，会在main函数前自动运行
  • 于是就调用了__afl_manual_init()
  • __afl_manual_init()有调用了__afl_map_shm()和__afl_start_forkserver() 就将共享内存映射到当前进程的地址空间中了，以及启动了fork server
  • 之后，就正常fuzz了
3nduRance
关注
专栏目录
afl源码阅读
刘某人 的博客
04-09 2538
afl源码阅读(原始策略): https://blog.csdn.net/weixin_30500105/article/details/97935796
AFL (American fuzzy lop) 二进制程序模糊测试工具学习
lifanxin的博客
08-14 5666
AFL前言AFL的安装AFL运行界面介绍fuzzing -- 有源码的程序fuzzing -- 无源码的程序总结 前言   在学习了一段时间的pwn后，我个人对漏洞挖掘也是充满了极大的兴趣，但是真实环境中的漏洞挖掘和CTF中的pwn题还是有很大区别的。原因在于，CTF中的pwn题代码量少，实现逻辑并不复杂，存在的漏洞也是比较明显的，一般都是通过代码审计就能发现；而在真实环境中，代码量大，实现逻辑复杂，虽然造成漏洞的代码可能和pwn题相差不大，但是在庞大的代码量下，通过代码审计的方式来发现漏洞并不是一个好的方
AFL源码阅读笔记（三）—— fuzzer 核心代码 afl-fuzz.c
weixin_45651194的博客
01-12 1561
afl-fuzz.c 文件就撑起了 AFL 整体，包括了种子变异、种子队列、种子选择等模糊测试的核心概念。afl-fuzz.c 代码洋洋洒洒 8900 多行，对代码的解读不可能像前两个笔记一样，一行一行读。这部分代码阅读重在捋逻辑，弄清各部分间的关系。
AFL源码分析
happygogf的专栏
07-14 556
https://www.dazhuanlan.com/2019/10/08/5d9c5dea6ec05/
AFL 源码分析
qq_61670993的博客
03-19 1327
AFL 源码分析
使用Afl-fuzz (American Fuzzy Lop) 进行fuzzing测试（一）——使用初体验
热门推荐
JochenZou的专栏
05-13 6万+
更新于2017.12.08 转载请注明出处：http://blog.csdn.net/youkawa/article/details/456963171. 具有导向性的模糊测试Fuzzing技术被证明是当前鉴别软件安全问题方面最强大测试技术。当前大多数远程代码执行和特权提升等比较严重的漏洞都是使用Fuzzing技术挖掘的。然而Fuzzing技术仍然存在着覆盖率低的缺陷。而许多的代码漏洞需要更大的路
android-afl （American Fuzzy Lop for Anadroid）编译安装
潇湘淑女
04-20 2685
android-afl （American Fuzzy Lop for Anadroid）的编译安装
使用Afl-fuzz (American Fuzzy Lop) 进行fuzzing测试（二）——详细使用说明（README.txt）
JochenZou的专栏
07-30 1万+
http://lcamtuf.coredump.cx/afl/README.txt AFL算法1） 把用户提供的初始测试用例加载到队列（queue）中； 2） 从队列中获取下一个测试输入文件； 3） 在保持程序行为的前提下，尝试修剪（trim）测试用例到最小； 4） 使用传统的模糊测试策略中的各种已有的研究方法，重复变异文件； 5） 如果生成的变异结果能够驱动新的状态转换
AFL入门介绍
weixin_43889068的博客
02-28 1万+
1、AFL简介 AFL（American Fuzzy Lop）是由安全研究员Michał Zalewski（@lcamtuf）开发的一款基于覆盖引导（Coverage-guided）的模糊测试工具，它通过记录输入样本的代码覆盖率，从而调整输入样本以提高覆盖率，增加发现漏洞的概率。其工作流程大致如下： ①从源码编译程序时进行插桩，以记录代码覆盖率（Code Coverage）； ②选择一些输入文件，作为初始测试集加入输入队列（queue）； ③将队列中的文件按一定的策略进行“突变”； ④如果经过变异
AFL-2.57b.zip（AFL源码分析章节版本）
12-07
AFL-2.57b.zip（AFL源码分析章节版本）
afl fuzz.tgz
01-23
最新版本 afl fuzz 2.5.2 源码 可直接运行 包括环境搭建说明。可对多种协议，函数处理等fuzz测试。tgz格式，使用tar解压
AFL 源码阅读
最新发布
sky123博客
04-29 602
AFL 白皮书 afl-gcc afl-gcc 是 gcc/clang 的替代编译器。afl-gcc 其实就是 gcc 的包装，使用 afl-gcc 依赖 afl-as，因此需要知道 afl-as 的安装路径。afl-as 的默认安装路径是 /usr/local/lib/afl/，通过编译的方式，可以更改安装路径，更改之后，可以通过 AFL_PATH 设置环境变量。 如果设置了 AFL_HARDEN ，afl-gcc 可以用更多的编译选项编译目标程序，这样可以检测到更加可靠的内存问题。比如，通过 AFL_U
afl 源码分析 ->>afl-as.c
qq_41071646的博客
03-30 1294
分析一下插桩代码。 有源码根据gcc提供的信息就可以插桩，无源码就需要了dynamo。。 这个AFL_USE_ASAN afl的回显就是用的asan，asan的话，栈是和gs 差不多，然后有函数调用监控，还有危险函数的hook。并且会重写堆的数据结构。 然后 重点函数就是add_instrumentation， 他有一个while 循环每行的读汇编代码， 如果是跳转，那么就直接插...
afl-fuzz-有源码文件
geniusle201的博客
12-07 635
0. afl安装 网上太多了，就不再赘述了 ：-) 1. 被测文件源码 #include <stdio.h> #include <string.h> int main() { char buf[20]; printf("enter a string:\n"); gets(buf); if (strcmp(buf, "admin")) printf("Fine!"); else printf("Failed!"
AFL(American Fuzzy Lop)源码详细解读（1）
weixin_50972562的博客
04-21 4005
AFL(American Fuzzy Lop)源码详细解读（1）
AFL(American Fuzzy Lop)源码详细解读（3）
weixin_50972562的博客
05-05 1397
AFL(American Fuzzy Lop)源码详细解读（3），AFL最核心的主循环代码解读
AFL二三事——源码分析
further_eye的博客
10-19 2993
AFL二三事——源码分析 前言 AFL，全称“American Fuzzy Lop”，是由安全研究员Michal Zalewski开发的一款基于覆盖引导（Coverage-guided）的模糊测试工具，它通过记录输入样本的代码覆盖率（代码执行路径的覆盖情况），以此进行反馈，对输入样本进行调整以提高覆盖率，从而提升发现漏洞的可能性。AFL可以针对有源码和无源码的程序进行模糊测试，其设计思想和实现方案在模糊测试领域具有十分重要的意义。 深入分析AFL源码，对理解AFL的设计理念和其中用到的技巧有着巨大的帮助，对
AFL源码阅读笔记（二）—— llvm_mode 和 pass 源码
weixin_45651194的博客
12-15 1302
afl源码阅读，llvm模式插桩，包括llvm相关概念和pass的理解。
afl源码分析之afl-gcc.c详细注释
12-19
afl-gcc.c是American fuzzy lop（AFL）的一部分，它是一个基于模糊测试的软件安全性工具。该工具用于编译和链接用户的源代码，以便进行模糊测试。在afl-gcc.c中，包含了一些重要的功能和注释。 该文件通过注释详细...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值