سرگرم شدن با libFuzzer

Fuzzing ، که به سادگی ارائه داده های بالقوه نامعتبر ، غیرمنتظره یا تصادفی به عنوان ورودی به یک برنامه است ، یک روش بسیار موثر برای یافتن اشکالات در سیستم های نرم افزاری بزرگ است ، و یک قسمت مهم از چرخه عمر توسعه نرم افزار است.

سیستم ساخت اندروید از طریق گنجاندن libFuzzer از پروژه پروژه زیرساخت کامپایلر LLVM پشتیبانی می کند. LibFuzzer با کتابخانه تحت آزمایش مرتبط است و همه انتخاب ورودی ، جهش و گزارش خرابی را که در یک جلسه فاز اتفاق می افتد ، کنترل می کند. ضد عفونی کننده های LLVM برای کمک به سنجش خرابی حافظه و معیارهای پوشش کد استفاده می شود.

در این مقاله مقدمه ای برای libFuzzer در Android و نحوه اجرای ساخت ابزار ارائه شده است. این برنامه همچنین شامل دستورالعمل هایی برای نوشتن ، اجرا و سفارشی سازی دستگاه های پخش کننده است.

راه اندازی و ساخت

برای اطمینان از اینکه تصویر درحال اجرا در دستگاه دارید ، می توانید یک تصویر کارخانه را بارگیری کرده و دستگاه را فلش کنید. در غیر این صورت ، می توانید کد منبع AOSP را بارگیری کرده و از تنظیمات و نمونه ساخت زیر استفاده کنید.

مثال راه اندازی

این مثال تصور می کند دستگاه مورد نظر Pixel ( taimen ) است و از قبل برای اشکال زدایی USB ( aosp_taimen-userdebug ) آماده شده است. سایر باینری های Pixel را می توانید از Driver Binaries بارگیری کنید.

mkdir ~/bin
export PATH=~/bin:$PATH
curl https://storage.googleapis.com/git-repo-downloads/repo > ~/bin/repo
chmod a+x ~/bin/repo
repo init -u https://android.googlesource.com/platform/manifest -b master
repo sync -c -j8
wget https://dl.google.com/dl/android/aosp/google_devices-taimen-qq1a.191205.008-f4537f93.tgz
tar xvf google_devices-taimen-qq1a.191205.008-f4537f93.tgz
./extract-google_devices-taimen.sh
wget https://dl.google.com/dl/android/aosp/qcom-taimen-qq1a.191205.008-760afa6e.tgz
tar xvf qcom-taimen-qq1a.191205.008-760afa6e.tgz
./extract-qcom-taimen.sh
. build/envsetup.sh
lunch aosp_taimen-userdebug

مثال بساز

اولین قدم برای اجرای اهداف fuzz ، به دست آوردن یک تصویر تازه از سیستم است. ما توصیه می کنیم حداقل در آخرین نسخه توسعه یافته Android باشید.

  1. ساخت اولیه را با صدور: 
    m
    انجام دهید
  2. برای اینکه بتوانید دستگاه خود را فلش کنید ، با استفاده از ترکیب کلید مناسب ، دستگاه را در حالت fastboot راه اندازی کنید.
  3. قفل بوت لودر را باز کرده و با دستورات زیر تصویر تازه وارد شده را فلش کنید. 
    fastboot oem unlock
fastboot flashall

دستگاه هدف اکنون باید برای fuzzing libFuzzer آماده باشد.

یک fuzzer بنویسید

برای نشان دادن نوشتن یک fuzzer پایان به انتها با استفاده از libFuzzer در Android ، از کد آسیب پذیر زیر به عنوان یک مورد آزمایشی استفاده کنید. این به آزمایش فازر ، اطمینان از عملکرد صحیح همه چیز و نشان دادن داده های خرابی کمک می کند.

در اینجا تابع آزمون است.

#include <stdint.h>
#include <stddef.h>
bool FuzzMe(const char *Data, size_t DataSize) {
    return DataSize >= 3  &&
           Data[0] == 'F' &&
           Data[1] == 'U' &&
           Data[2] == 'Z' &&
           Data[3] == 'Z';  // ← Out of bounds access
}

برای ساخت و اجرای این fuzzer آزمون:

  1. هدف fuzz از دو فایل تشکیل شده است: یک فایل ساخت و کد منبع fuzz. پرونده های خود را در مکانی در کنار کتابخانه ای ایجاد کنید که در آن گنگ هستید. نامی را به fuzzer اختصاص دهید که توصیف کند fuzzer چه کاری انجام می دهد.
  2. با استفاده از libFuzzer یک هدف fuzz بنویسید. هدف fuzz تابعی است که یک لکه داده از اندازه مشخص را می گیرد و آن را به عملکردی که fuzzy است منتقل می کند. در اینجا یک fuzzer اساسی برای عملکرد آزمون آسیب پذیر وجود دارد: 
    #include <stddef.h>
#include <stdint.h>

extern "C" int LLVMFuzzerTestOneInput(const char *data, size_t size) {
  // ...
  // Use the data to call the library you are fuzzing.
  // ...
  return FuzzMe(data, size);
}
  3. به سیستم ساخت Android بگویید که باینری fuzzer را ایجاد کند. برای ساخت fuzzer ، این کد را به پرونده Android.bp کنید: 
    cc_fuzz {
  name: "fuzz_me_fuzzer",
  srcs: [
    "fuzz_me_fuzzer.cpp",
  ],
  // If the fuzzer has a dependent library, uncomment the following section and
  // include it.
  // static_libs: [
  //   "libfoo", // Dependent library
  // ],
  //
  // The advanced features below allow you to package your corpus and
  // dictionary files during building. You can find more information about
  // these features at:
  //  - Corpus: https://llvm.org/docs/LibFuzzer.html#corpus
  //  - Dictionaries: https://llvm.org/docs/LibFuzzer.html#dictionaries
  // These features are not required for fuzzing, but are highly recommended
  // to gain extra coverage.
  // To include a corpus folder, uncomment the following line.
  // corpus: ["corpus/*"],
  // To include a dictionary, uncomment the following line.
  // dictionary: "fuzz_me_fuzzer.dict",
}
  4. برای ایجاد fuzzer برای اجرای بر روی هدف (دستگاه): 
    SANITIZE_TARGET=hwaddress m fuzz_me_fuzzer
  5. برای ساخت fuzzer برای اجرا بر روی میزبان: 
    SANITIZE_HOST=address m fuzz_me_fuzzer

برای راحتی کار ، برخی از متغیرهای پوسته حاوی مسیر رسیدن به هدف fuzz و نام باینری (از فایل ساختنی که قبلا نوشتید) را تعریف کنید.

export FUZZER_NAME=your_fuzz_target

پس از انجام این مراحل ، باید یک گودال ساخته شده داشته باشید. مکان پیش فرض fuzzer (برای این نمونه ساخت Pixel):

  • $ ANDROID_PRODUCT_OUT / data / fuzz / $ TARGET_ARCH / $ FUZZER_NAME / $ FUZZER_NAME برای دستگاه.
  • $ ANDROID_HOST_OUT / fuzz / $ TARGET_ARCH / $ FUZZER_NAME / $ FUZZER_NAME برای میزبان.

    • fuzzer خود را روی میزبان اجرا کنید

  • به پرونده ساخت Android.bp خود اضافه کنید: 
    host_supported: true,
    توجه داشته باشید که این تنها در صورتی قابل استفاده است که کتابخانه ای که می خواهید fuzz میزبان آن باشد پشتیبانی شود.
  • با اجرای ساده باینری fuzzer ساخته شده ، fuzzer را روی میزبان اجرا کنید: 
    $ANDROID_HOST_OUT/fuzz/x86_64/$FUZZER_NAME/$FUZZER_NAME

    • fuzzer خود را بر روی دستگاه اجرا کنید

    ما می خواهیم با استفاده از adb این مورد را در دستگاه شما کپی کنیم.

    1. برای بارگذاری این پرونده ها در فهرست دستگاه ، این دستورات را اجرا کنید: 
      adb root
adb sync data
    2. fuzzer تست را با استفاده از این دستور روی دستگاه اجرا کنید: 
      adb shell /data/fuzz/$(get_build_var TARGET_ARCH)/$FUZZER_NAME/$FUZZER_NAME \
  /data/fuzz/$(get_build_var TARGET_ARCH)/$FUZZER_NAME/corpus

    این نتیجه مشابه خروجی نمونه زیر است.

    INFO: Seed: 913963180
INFO: Loaded 2 modules   (16039 inline 8-bit counters): 16033 [0x7041769b88, 0x704176da29), 6 [0x60e00f4df0, 0x60e00f4df6),
INFO: Loaded 2 PC tables (16039 PCs): 16033 [0x704176da30,0x70417ac440), 6 [0x60e00f4df8,0x60e00f4e58),
INFO: -max_len is not provided; libFuzzer will not generate inputs larger than 4096 bytes
INFO: A corpus is not provided, starting from an empty corpus
#2	INITED cov: 5 ft: 5 corp: 1/1b exec/s: 0 rss: 24Mb
#10	NEW    cov: 6 ft: 6 corp: 2/4b lim: 4 exec/s: 0 rss: 24Mb L: 3/3 MS: 3 CopyPart-ChangeByte-InsertByte-
#712	NEW    cov: 7 ft: 7 corp: 3/9b lim: 8 exec/s: 0 rss: 24Mb L: 5/5 MS: 2 InsertByte-InsertByte-
#744	REDUCE cov: 7 ft: 7 corp: 3/7b lim: 8 exec/s: 0 rss: 25Mb L: 3/3 MS: 2 ShuffleBytes-EraseBytes-
#990	REDUCE cov: 8 ft: 8 corp: 4/10b lim: 8 exec/s: 0 rss: 25Mb L: 3/3 MS: 1 ChangeByte-
==18631==ERROR: HWAddressSanitizer: tag-mismatch on address 0x0041e00b4183 at pc 0x0060e00c5144
READ of size 1 at 0x0041e00b4183 tags: f8/03 (ptr/mem) in thread T0
    #0 0x60e00c5140  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf140)
    #1 0x60e00ca130  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x14130)
    #2 0x60e00c9b8c  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x13b8c)
    #3 0x60e00cb188  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15188)
    #4 0x60e00cbdec  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15dec)
    #5 0x60e00d8fbc  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x22fbc)
    #6 0x60e00f0a98  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x3aa98)
    #7 0x7041b75d34  (/data/fuzz/arm64/lib/libc.so+0xa9d34)

[0x0041e00b4180,0x0041e00b41a0) is a small allocated heap chunk; size: 32 offset: 3
0x0041e00b4183 is located 0 bytes to the right of 3-byte region [0x0041e00b4180,0x0041e00b4183)
allocated here:
    #0 0x70418392bc  (/data/fuzz/arm64/lib/libclang_rt.hwasan-aarch64-android.so+0x212bc)
    #1 0x60e00ca040  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x14040)
    #2 0x60e00c9b8c  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x13b8c)
    #3 0x60e00cb188  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15188)
    #4 0x60e00cbdec  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15dec)
    #5 0x60e00d8fbc  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x22fbc)
    #6 0x60e00f0a98  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x3aa98)
    #7 0x7041b75d34  (/data/fuzz/arm64/lib/libc.so+0xa9d34)
    #8 0x60e00c504c  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf04c)
    #9 0x70431aa9c4  (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x519c4)

Thread: T1 0x006700006000 stack: [0x007040c55000,0x007040d4ecc0) sz: 1023168 tls: [0x000000000000,0x000000000000)
Thread: T0 0x006700002000 stack: [0x007fe51f3000,0x007fe59f3000) sz: 8388608 tls: [0x000000000000,0x000000000000)
Memory tags around the buggy address (one tag corresponds to 16 bytes):
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   08  00  cf  08  dc  08  cd  08  b9  08  1a  1a  0b  00  04  3f
=> 27  00  08  00  bd  bd  2d  07 [03] 73  66  66  27  27  20  f6 <=
   5b  5b  87  87  03  00  01  00  4f  04  24  24  03  39  2c  2c
   05  00  04  00  be  be  85  85  04  00  4a  4a  05  05  5f  5f
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
   00  00  00  00  00  00  00  00  00  00  00  00  00  00  00  00
Tags for short granules around the buggy address (one tag corresponds to 16 bytes):
   04  ..  ..  cf  ..  dc  ..  cd  ..  b9  ..  ..  3f  ..  57  ..
=> ..  ..  21  ..  ..  ..  ..  2d [f8] ..  ..  ..  ..  ..  ..  .. <=
   ..  ..  ..  ..  9c  ..  e2  ..  ..  4f  ..  ..  99  ..  ..  ..
See https://clang.llvm.org/docs/HardwareAssistedAddressSanitizerDesign.html#short-granules for a description of short granule tags
Registers where the failure occurred (pc 0x0060e00c5144):
    x0  f8000041e00b4183  x1  000000000000005a  x2  0000000000000006  x3  000000704176d9c0
    x4  00000060e00f4df6  x5  0000000000000004  x6  0000000000000046  x7  000000000000005a
    x8  00000060e00f4df0  x9  0000006800000000  x10 0000000000000001  x11 00000060e0126a00
    x12 0000000000000001  x13 0000000000000231  x14 0000000000000000  x15 000e81434c909ede
    x16 0000007041838b14  x17 0000000000000003  x18 0000007042b80000  x19 f8000041e00b4180
    x20 0000006800000000  x21 000000000000005a  x22 24000056e00b4000  x23 00000060e00f5200
    x24 00000060e0128c88  x25 00000060e0128c20  x26 00000060e0128000  x27 00000060e0128000
    x28 0000007fe59f16e0  x29 0000007fe59f1400  x30 00000060e00c5144
SUMMARY: HWAddressSanitizer: tag-mismatch (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf140)
MS: 1 ChangeByte-; base unit: e09f9c158989c56012ccd88111b82f778a816eae
0x46,0x55,0x5a,
FUZ
artifact_prefix='./'; Test unit written to ./crash-0eb8e4ed029b774d80f2b66408203801cb982a60
Base64: RlVa

    در خروجی مثال ، خرابی توسط fuzz_me_fuzzer.cpp در خط 10 ایجاد شده است:

          Data[3] == 'Z';  // :(

    اگر طول داده 3 باشد ، این یک خوانش ساده و خارج از مرزها است.

    پس از اینکه fuzzer خود را اجرا کردید ، خروجی اغلب منجر به خرابی می شود و ورودی متخلف در مجموعه ذخیره می شود و شناسه داده می شود. در خروجی مثال ، این crash-0eb8e4ed029b774d80f2b66408203801cb982a60 .

    برای بازیابی اطلاعات خرابی در هنگام مبهم بودن روی دستگاه ، این دستور را با مشخص کردن شناسه خرابی خود صادر کنید:

    adb pull /data/fuzz/arm64/fuzz_me_fuzzer/corpus/CRASH_ID
    توجه داشته باشید که برای ذخیره سازی جعبه های آزمایشی در دایرکتوری مناسب می توانید از پوشه corpus استفاده کنید (مانند مثال بالا) یا از آرگومان artifact_prefix استفاده کنید (به عنوان مثال: -artifact_prefix = / data / fuzz / Where / my / crashes / go `)

    هنگام fuzzing روی میزبان ، اطلاعات خرابی در پوشه خرابی در پوشه محلی که fuzzer در آن اجرا می شود ، ظاهر می شود.

    برای کسب اطلاعات بیشتر در مورد libFuzzer ، به اسناد بالادستی مراجعه کنید.