Fuzzing ، که به سادگی ارائه داده های بالقوه نامعتبر ، غیرمنتظره یا تصادفی به عنوان ورودی به یک برنامه است ، یک روش بسیار موثر برای یافتن اشکالات در سیستم های نرم افزاری بزرگ است ، و یک قسمت مهم از چرخه عمر توسعه نرم افزار است.
سیستم ساخت اندروید از طریق گنجاندن libFuzzer از پروژه پروژه زیرساخت کامپایلر LLVM پشتیبانی می کند. LibFuzzer با کتابخانه تحت آزمایش مرتبط است و همه انتخاب ورودی ، جهش و گزارش خرابی را که در یک جلسه فاز اتفاق می افتد ، کنترل می کند. ضد عفونی کننده های LLVM برای کمک به سنجش خرابی حافظه و معیارهای پوشش کد استفاده می شود.
در این مقاله مقدمه ای برای libFuzzer در Android و نحوه اجرای ساخت ابزار ارائه شده است. این برنامه همچنین شامل دستورالعمل هایی برای نوشتن ، اجرا و سفارشی سازی دستگاه های پخش کننده است.
راه اندازی و ساخت
برای اطمینان از اینکه تصویر درحال اجرا در دستگاه دارید ، می توانید یک تصویر کارخانه را بارگیری کرده و دستگاه را فلش کنید. در غیر این صورت ، می توانید کد منبع AOSP را بارگیری کرده و از تنظیمات و نمونه ساخت زیر استفاده کنید.
مثال راه اندازی
این مثال تصور می کند دستگاه مورد نظر Pixel ( taimen
) است و از قبل برای اشکال زدایی USB ( aosp_taimen-userdebug
) آماده شده است. سایر باینری های Pixel را می توانید از Driver Binaries بارگیری کنید.
mkdir ~/bin
export PATH=~/bin:$PATH
curl https://storage.googleapis.com/git-repo-downloads/repo > ~/bin/repo
chmod a+x ~/bin/repo
repo init -u https://android.googlesource.com/platform/manifest -b master
repo sync -c -j8
wget https://dl.google.com/dl/android/aosp/google_devices-taimen-qq1a.191205.008-f4537f93.tgz
tar xvf google_devices-taimen-qq1a.191205.008-f4537f93.tgz
./extract-google_devices-taimen.sh
wget https://dl.google.com/dl/android/aosp/qcom-taimen-qq1a.191205.008-760afa6e.tgz
tar xvf qcom-taimen-qq1a.191205.008-760afa6e.tgz
./extract-qcom-taimen.sh
. build/envsetup.sh
lunch aosp_taimen-userdebug
مثال بساز
اولین قدم برای اجرای اهداف fuzz ، به دست آوردن یک تصویر تازه از سیستم است. ما توصیه می کنیم حداقل در آخرین نسخه توسعه یافته Android باشید.
- ساخت اولیه را با صدور:
m
انجام دهید - برای اینکه بتوانید دستگاه خود را فلش کنید ، با استفاده از ترکیب کلید مناسب ، دستگاه را در حالت fastboot راه اندازی کنید.
- قفل بوت لودر را باز کرده و با دستورات زیر تصویر تازه وارد شده را فلش کنید.
fastboot oem unlock
fastboot flashall
دستگاه هدف اکنون باید برای fuzzing libFuzzer آماده باشد.
یک fuzzer بنویسید
برای نشان دادن نوشتن یک fuzzer پایان به انتها با استفاده از libFuzzer در Android ، از کد آسیب پذیر زیر به عنوان یک مورد آزمایشی استفاده کنید. این به آزمایش فازر ، اطمینان از عملکرد صحیح همه چیز و نشان دادن داده های خرابی کمک می کند.
در اینجا تابع آزمون است.
#include <stdint.h> #include <stddef.h> bool FuzzMe(const char *Data, size_t DataSize) { return DataSize >= 3 && Data[0] == 'F' && Data[1] == 'U' && Data[2] == 'Z' && Data[3] == 'Z'; // ← Out of bounds access }
برای ساخت و اجرای این fuzzer آزمون:
- هدف fuzz از دو فایل تشکیل شده است: یک فایل ساخت و کد منبع fuzz. پرونده های خود را در مکانی در کنار کتابخانه ای ایجاد کنید که در آن گنگ هستید. نامی را به fuzzer اختصاص دهید که توصیف کند fuzzer چه کاری انجام می دهد.
- با استفاده از libFuzzer یک هدف fuzz بنویسید. هدف fuzz تابعی است که یک لکه داده از اندازه مشخص را می گیرد و آن را به عملکردی که fuzzy است منتقل می کند. در اینجا یک fuzzer اساسی برای عملکرد آزمون آسیب پذیر وجود دارد:
#include <stddef.h> #include <stdint.h> extern "C" int LLVMFuzzerTestOneInput(const char *data, size_t size) { // ... // Use the data to call the library you are fuzzing. // ... return FuzzMe(data, size); }
- به سیستم ساخت Android بگویید که باینری fuzzer را ایجاد کند. برای ساخت fuzzer ، این کد را به پرونده
Android.bp
کنید:cc_fuzz { name: "fuzz_me_fuzzer", srcs: [ "fuzz_me_fuzzer.cpp", ], // If the fuzzer has a dependent library, uncomment the following section and // include it. // static_libs: [ // "libfoo", // Dependent library // ], // // The advanced features below allow you to package your corpus and // dictionary files during building. You can find more information about // these features at: // - Corpus: https://llvm.org/docs/LibFuzzer.html#corpus // - Dictionaries: https://llvm.org/docs/LibFuzzer.html#dictionaries // These features are not required for fuzzing, but are highly recommended // to gain extra coverage. // To include a corpus folder, uncomment the following line. // corpus: ["corpus/*"], // To include a dictionary, uncomment the following line. // dictionary: "fuzz_me_fuzzer.dict", }
- برای ایجاد fuzzer برای اجرای بر روی هدف (دستگاه):
SANITIZE_TARGET=hwaddress m fuzz_me_fuzzer
- برای ساخت fuzzer برای اجرا بر روی میزبان:
SANITIZE_HOST=address m fuzz_me_fuzzer
برای راحتی کار ، برخی از متغیرهای پوسته حاوی مسیر رسیدن به هدف fuzz و نام باینری (از فایل ساختنی که قبلا نوشتید) را تعریف کنید.
export FUZZER_NAME=your_fuzz_target
پس از انجام این مراحل ، باید یک گودال ساخته شده داشته باشید. مکان پیش فرض fuzzer (برای این نمونه ساخت Pixel):
fuzzer خود را روی میزبان اجرا کنید
host_supported: true,توجه داشته باشید که این تنها در صورتی قابل استفاده است که کتابخانه ای که می خواهید fuzz میزبان آن باشد پشتیبانی شود.
$ANDROID_HOST_OUT/fuzz/x86_64/$FUZZER_NAME/$FUZZER_NAME
fuzzer خود را بر روی دستگاه اجرا کنید
ما می خواهیم با استفاده از adb
این مورد را در دستگاه شما کپی کنیم.
- برای بارگذاری این پرونده ها در فهرست دستگاه ، این دستورات را اجرا کنید:
adb root
adb sync data
- fuzzer تست را با استفاده از این دستور روی دستگاه اجرا کنید:
adb shell /data/fuzz/$(get_build_var TARGET_ARCH)/$FUZZER_NAME/$FUZZER_NAME \ /data/fuzz/$(get_build_var TARGET_ARCH)/$FUZZER_NAME/corpus
این نتیجه مشابه خروجی نمونه زیر است.
INFO: Seed: 913963180 INFO: Loaded 2 modules (16039 inline 8-bit counters): 16033 [0x7041769b88, 0x704176da29), 6 [0x60e00f4df0, 0x60e00f4df6), INFO: Loaded 2 PC tables (16039 PCs): 16033 [0x704176da30,0x70417ac440), 6 [0x60e00f4df8,0x60e00f4e58), INFO: -max_len is not provided; libFuzzer will not generate inputs larger than 4096 bytes INFO: A corpus is not provided, starting from an empty corpus #2 INITED cov: 5 ft: 5 corp: 1/1b exec/s: 0 rss: 24Mb #10 NEW cov: 6 ft: 6 corp: 2/4b lim: 4 exec/s: 0 rss: 24Mb L: 3/3 MS: 3 CopyPart-ChangeByte-InsertByte- #712 NEW cov: 7 ft: 7 corp: 3/9b lim: 8 exec/s: 0 rss: 24Mb L: 5/5 MS: 2 InsertByte-InsertByte- #744 REDUCE cov: 7 ft: 7 corp: 3/7b lim: 8 exec/s: 0 rss: 25Mb L: 3/3 MS: 2 ShuffleBytes-EraseBytes- #990 REDUCE cov: 8 ft: 8 corp: 4/10b lim: 8 exec/s: 0 rss: 25Mb L: 3/3 MS: 1 ChangeByte- ==18631==ERROR: HWAddressSanitizer: tag-mismatch on address 0x0041e00b4183 at pc 0x0060e00c5144 READ of size 1 at 0x0041e00b4183 tags: f8/03 (ptr/mem) in thread T0 #0 0x60e00c5140 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf140) #1 0x60e00ca130 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x14130) #2 0x60e00c9b8c (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x13b8c) #3 0x60e00cb188 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15188) #4 0x60e00cbdec (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15dec) #5 0x60e00d8fbc (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x22fbc) #6 0x60e00f0a98 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x3aa98) #7 0x7041b75d34 (/data/fuzz/arm64/lib/libc.so+0xa9d34) [0x0041e00b4180,0x0041e00b41a0) is a small allocated heap chunk; size: 32 offset: 3 0x0041e00b4183 is located 0 bytes to the right of 3-byte region [0x0041e00b4180,0x0041e00b4183) allocated here: #0 0x70418392bc (/data/fuzz/arm64/lib/libclang_rt.hwasan-aarch64-android.so+0x212bc) #1 0x60e00ca040 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x14040) #2 0x60e00c9b8c (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x13b8c) #3 0x60e00cb188 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15188) #4 0x60e00cbdec (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x15dec) #5 0x60e00d8fbc (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x22fbc) #6 0x60e00f0a98 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x3aa98) #7 0x7041b75d34 (/data/fuzz/arm64/lib/libc.so+0xa9d34) #8 0x60e00c504c (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf04c) #9 0x70431aa9c4 (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0x519c4) Thread: T1 0x006700006000 stack: [0x007040c55000,0x007040d4ecc0) sz: 1023168 tls: [0x000000000000,0x000000000000) Thread: T0 0x006700002000 stack: [0x007fe51f3000,0x007fe59f3000) sz: 8388608 tls: [0x000000000000,0x000000000000) Memory tags around the buggy address (one tag corresponds to 16 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 08 00 cf 08 dc 08 cd 08 b9 08 1a 1a 0b 00 04 3f => 27 00 08 00 bd bd 2d 07 [03] 73 66 66 27 27 20 f6 <= 5b 5b 87 87 03 00 01 00 4f 04 24 24 03 39 2c 2c 05 00 04 00 be be 85 85 04 00 4a 4a 05 05 5f 5f 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Tags for short granules around the buggy address (one tag corresponds to 16 bytes): 04 .. .. cf .. dc .. cd .. b9 .. .. 3f .. 57 .. => .. .. 21 .. .. .. .. 2d [f8] .. .. .. .. .. .. .. <= .. .. .. .. 9c .. e2 .. .. 4f .. .. 99 .. .. .. See https://clang.llvm.org/docs/HardwareAssistedAddressSanitizerDesign.html#short-granules for a description of short granule tags Registers where the failure occurred (pc 0x0060e00c5144): x0 f8000041e00b4183 x1 000000000000005a x2 0000000000000006 x3 000000704176d9c0 x4 00000060e00f4df6 x5 0000000000000004 x6 0000000000000046 x7 000000000000005a x8 00000060e00f4df0 x9 0000006800000000 x10 0000000000000001 x11 00000060e0126a00 x12 0000000000000001 x13 0000000000000231 x14 0000000000000000 x15 000e81434c909ede x16 0000007041838b14 x17 0000000000000003 x18 0000007042b80000 x19 f8000041e00b4180 x20 0000006800000000 x21 000000000000005a x22 24000056e00b4000 x23 00000060e00f5200 x24 00000060e0128c88 x25 00000060e0128c20 x26 00000060e0128000 x27 00000060e0128000 x28 0000007fe59f16e0 x29 0000007fe59f1400 x30 00000060e00c5144 SUMMARY: HWAddressSanitizer: tag-mismatch (/data/fuzz/arm64/example_fuzzer/example_fuzzer+0xf140) MS: 1 ChangeByte-; base unit: e09f9c158989c56012ccd88111b82f778a816eae 0x46,0x55,0x5a, FUZ artifact_prefix='./'; Test unit written to ./crash-0eb8e4ed029b774d80f2b66408203801cb982a60 Base64: RlVa
در خروجی مثال ، خرابی توسط fuzz_me_fuzzer.cpp
در خط 10 ایجاد شده است:
Data[3] == 'Z'; // :(
اگر طول داده 3 باشد ، این یک خوانش ساده و خارج از مرزها است.
پس از اینکه fuzzer خود را اجرا کردید ، خروجی اغلب منجر به خرابی می شود و ورودی متخلف در مجموعه ذخیره می شود و شناسه داده می شود. در خروجی مثال ، این crash-0eb8e4ed029b774d80f2b66408203801cb982a60
.
برای بازیابی اطلاعات خرابی در هنگام مبهم بودن روی دستگاه ، این دستور را با مشخص کردن شناسه خرابی خود صادر کنید:
adb pull /data/fuzz/arm64/fuzz_me_fuzzer/corpus/CRASH_IDتوجه داشته باشید که برای ذخیره سازی جعبه های آزمایشی در دایرکتوری مناسب می توانید از پوشه corpus استفاده کنید (مانند مثال بالا) یا از آرگومان artifact_prefix استفاده کنید (به عنوان مثال: -artifact_prefix = / data / fuzz / Where / my / crashes / go `)
هنگام fuzzing روی میزبان ، اطلاعات خرابی در پوشه خرابی در پوشه محلی که fuzzer در آن اجرا می شود ، ظاهر می شود.
برای کسب اطلاعات بیشتر در مورد libFuzzer ، به اسناد بالادستی مراجعه کنید.