fuzz——AFL基础使用方法

最近打 ctf 的时候感觉有点遇到瓶颈，就来 fuzz 这块看看。

AFL 全称为 American huzzy loop，是 Fuzzing 最高级的测试工具之一。这个工具对有源码和无源码的二进制程序均可以进行 fuzz 测试。

alf 各位自行安装即可，值得注意的是，在我本机 glibc2.31 的环境下，编译 alf 前要对 AFL/llvm_mode/afl-clang-fast.c修改一下，否则会出现报错，只需把部分内容注释掉即可

输入 afl-fuzz 出现下图即安装成功

 

我们先看对有源码的二进制程序是怎样进行测试：

在 AFL 文件夹里会有很多目录，我们进入 test。首先先把自己要测试的源码放进去，再建两个文件夹分别放测试输入的内容和测试输出的内容，我这里就建了 fuzz_in , fuzz_out。在fuzz_in 里面还要建一个文件，里面随便放一些字母就行（这里笔者也不是很清楚为什么）。在有源码的情况下我们用 afl 自带的编译器，对其进行编译这会使测试更加高效。原因是 afl 自带的编译器在编译时会对目标程序插桩，故此过程叫插桩编译。我从其他师傅的博客里找了一个简单的二进制程序来进行测试。

#include <stdio.h> #include <stdlib.h> #include <unistd.h> #include <string.h> #include <signal.h> int vuln(char *str){    int len = strlen(str);    if(str[0] == 'A' && len == 66)    {        raise(SIGSEGV);        //如果输入的字符串的首字符为A并且长度为66，则异常退出    }    else if(str[0] == 'F' && len == 6)    {        raise(SIGSEGV);        //如果输入的字符串的首字符为F并且长度为6，则异常退出    }    else    {        printf("it is good!\n");    }    return 0;}int main(int argc, char *argv[]){    char buf[100]={0};    gets(buf);//存在栈溢出漏洞    printf(buf);//存在格式化字符串漏洞    vuln(buf);    return 0;}

对其插桩编译

afl-gcc -g -o afl_test afl_test.c

 我们接下来就可以对其进行测试了，此外在 fuzz 前要关闭系统的核心转储，确保在 fuzz 的过程中即使出现 crash 也不会停止，不然就会出现如下报错

 我们关闭系统核心转储开始测试

sudo suecho core >/proc/sys/kernel/core_pattern
exit

afl-fuzz -i fuzz_in -o fuzz_out ./afl_test

 这上面的数字是彩色的，注意 overall results 里的 cycles results 的颜色会随着 fuzz 次数的增加从红色到黄色到蓝色到绿色，当他到绿色的时候也就说明基本上该有的 crash 都出来了，继续跑下去，发现的东西也很少了，此时我们就可以 crtl+c 结束测试。

 

 

 此时我们就可以从我们刚刚建立的 fuzz_out 文件夹里看到测试的结果了。

 我们再进行查看

 

 

 之前一次测试的时候格式化字符串也测试出来了，不知道为什么这次没出来。好吧，那插桩测试就写到这里。

 

 下面我们来看无源码的测试过程。

 进行无源码测试之前我们要进入到 AFL/qemu_mode 在终端中执行一下 ./build_qemu_support.sh

遇见如下报错：

make[1]: *** [/xxxxxxxx/AFL/qemu_mode/qemu-2.10.0/rules.mak:66: linux-user/syscall.o] Error 1make: *** [Makefile:326: subdir-x86_64-linux-user] Error 2

查阅资料后得知：给 /AFL/qemu_mode/patches/syscall.diff 打个补丁即可

--- qemu-2.10.0-clean/linux-user/syscall.c    2020-03-12 18:47:47.898592169 +0100+++ qemu-2.10.0/linux-user/syscall.c    2020-03-12 19:16:41.563074307 +0100@@ -34,6 +34,7 @@ #include <sys/resource.h> #include <sys/swap.h> #include <linux/capability.h>+#include <linux/sockios.h> // https://lkml.org/lkml/2019/6/3/988 #include <sched.h> #include <sys/timex.h> #ifdef __ia64__@@ -116,6 +117,8 @@ int __clone2(int (*fn)(void *), void *ch #include "qemu.h"+extern unsigned int afl_forksrv_pid;+ #ifndef CLONE_IO #define CLONE_IO                0x80000000      /* Clone io context */ #endif @@ -256,7 +259,9 @@ static type name (type1 arg1,type2 arg2, #endif #ifdef __NR_gettid-_syscall0(int, gettid)+// taken from https://patchwork.kernel.org/patch/10862231/+#define __NR_sys_gettid __NR_gettid+_syscall0(int, sys_gettid) #else /* This is a replacement for the host gettid() and must return a host    errno. */@@ -6219,7 +6224,8 @@ static void *clone_func(void *arg)     cpu = ENV_GET_CPU(env);     thread_cpu = cpu;     ts = (TaskState *)cpu->opaque;-    info->tid = gettid();+    // taken from https://patchwork.kernel.org/patch/10862231/+    info->tid = sys_gettid();     task_settid(ts);     if (info->child_tidptr)         put_user_u32(info->tid, info->child_tidptr);@@ -6363,9 +6369,11 @@ static int do_fork(CPUArchState *env, un                mapping.  We can't repeat the spinlock hack used above because                the child process gets its own copy of the lock.  */             if (flags & CLONE_CHILD_SETTID)-                put_user_u32(gettid(), child_tidptr);+                // taken from https://patchwork.kernel.org/patch/10862231/+                put_user_u32(sys_gettid(), child_tidptr);             if (flags & CLONE_PARENT_SETTID)-                put_user_u32(gettid(), parent_tidptr);+                // taken from https://patchwork.kernel.org/patch/10862231/+                put_user_u32(sys_gettid(), parent_tidptr);             ts = (TaskState *)cpu->opaque;             if (flags & CLONE_SETTLS)                 cpu_set_tls (env, newtls);@@ -11402,7 +11410,8 @@ abi_long do_syscall(void *cpu_env, int n         break; #endif     case TARGET_NR_gettid:-        ret = get_errno(gettid());+        // taken from https://patchwork.kernel.org/patch/10862231/+        ret = get_errno(sys_gettid());         break; #ifdef TARGET_NR_readahead     case TARGET_NR_readahead:

成功！

又出现如下报错：

这时我们返回 AFL 目录重新 make install 即可

此后和插桩测试的过程就大体一致了，只是在 test 里直接放进二进制程序即可，并且加上参数 -Q

afl-fuzz -i fuzz_in -o fuzz_out -Q ./afl_test2

 好了 afl 的一些基础用法掌握了，以后就在 ctf 打不动的时候，跟着其他师傅的博客去复现CVE漏洞看看。

 

参考文章：

https://blog.csdn.net/weixin_50919879/article/details/108916954

 https://xz.aliyun.com/t/4314

https://blog.csdn.net/geniusle201/article/details/111028697

https://www.codeleading.com/article/61745363753/

https://blog.csdn.net/qq_38239282/article/details/120975670

https://bbs.csdn.net/topics/392361391

https://blog.csdn.net/ChuMeng1999/article/details/121880731