3、模糊测试基础：模糊测试原理、变异与生成策略、覆盖率引导、崩溃检测与去重
模糊测试（Fuzzing）是一种通过向目标系统输入大量非预期、随机或经过精心构造的数据，以触发其内部缺陷（如内存越界、空指针解引用、断言失败、未处理异常等）的自动化软件测试技术。在嵌入式安全领域，模糊测试是发现固件、通信协议、设备驱动及解析器中未知漏洞的最有效手段之一。其核心思想是“以量取胜”与“以智取胜”相结合：既要通过大规模执行探索状态空间，又要通过反馈机制引导输入向代码深处渗透。本章将系统讲解模糊测试的四大核心支柱：测试原理、变异与生成策略、覆盖率引导机制，以及崩溃检测与去重方法，帮助读者建立从理论到实战的完整知识框架。
上图展示了模糊测试的完整闭环。种子输入经过变异或生成引擎产生测试用例，送入目标执行环境；覆盖率反馈模块监控执行路径，将触发新代码区域的输入回注到种子池；同时，崩溃检测模块捕获异常信号并完成去重归档。这一循环机制使得模糊测试能够从初始种子出发，逐步探索目标程序的深层逻辑，最终发现隐藏在复杂状态转换或边界条件中的安全缺陷。
3.1 模糊测试核心原理
模糊测试的本质是负向测试（Negative Testing），其理论基础建立在“程序对畸形输入的容错能力有限”这一假设之上。与传统的基于断言的测试不同，模糊测试不预设预期输出，而是通过监控程序在异常输入下的行为（是否崩溃、是否挂起、是否产生非法内存访问）来判断缺陷的存在。其核心工作流程可分解为四个阶段：输入生成、执行监控、异常判定和样本归档。
在嵌入式环境中，模糊测试面临独特的挑战：目标设备可能资源受限（内存不足、CPU频率低），实时操作系统（RTOS）的调度行为可能影响测试的确定性，且硬件外设的状态（如看门狗定时器）可能干扰测试结果。因此，嵌入式模糊测试通常采用硬件在环（HIL）或全系统模拟两种模式。HIL模式将测试用例通过调试接口（JTAG/SWD）或通信接口（UART/SPI）注入真实设备，适合验证硬件相关缺陷；而全系统模拟（如QEMU）则提供更好的可观测性和可重复性，适合大规模自动化执行。
3.2 变异与生成策略
变异策略与生成策略是模糊测试输入构造的两大范式，二者在嵌入式场景中的适用性差异显著。
3.2.1 变异策略（Mutation-based）
变异策略以合法种子输入为蓝本，通过一系列破坏性操作产生新用例。常用的变异操作包括：
- 位级操作：随机翻转单个或多个比特位（bit flip），适用于发现位域处理错误。
- 字节级操作：替换、插入或删除字节序列，可破坏长度字段与数据内容的对应关系。
- 算术操作：对整数字段执行加减乘除或边界值替换（如将0x7FFFFFFF改为0x80000000），用于触发整数溢出。
- 字典替换：使用预定义的“危险值”字典（如格式化字符串%s、路径穿越符../、超大长度值0xFFFFFFFF）替换种子中的特定字段。
- 块操作：复制、删除或拼接较大的数据块，用于破坏协议报文的结构完整性。
变异策略的优势在于实现简单、无需理解协议格式，但其盲目性较高，容易产生大量被目标程序在早期解析阶段就拒绝的无效输入。在嵌入式场景中，若目标固件对输入有严格的校验（如CRC校验、魔数检查），纯变异策略的效率会显著下降。
3.2.2 生成策略（Generation-based）
生成策略基于对目标输入格式的建模，从零开始构造符合语法规则的测试用例。这需要先对协议或文件格式进行逆向分析，定义其结构（如字段类型、长度、取值范围、嵌套关系），然后由模糊测试引擎根据模型生成大量边界值、非法组合和随机数据。例如，对于Modbus TCP协议，生成器会构造功能码、寄存器地址、数据长度等字段，并针对每个字段生成合法值、边界值和非法值。
生成策略的优点是测试用例的“命中率”高，能够深入协议解析逻辑的内部；缺点是需要投入大量精力进行格式建模，且模型一旦不准确，可能遗漏真实协议实现中的特殊行为。在实际嵌入式项目中，通常采用混合策略：先用生成策略构造基础用例，再对部分字段施加变异操作，以兼顾深度与广度。
| 对比维度 | 变异策略 | 生成策略 |
|---|---|---|
| 前置知识要求 | 低，仅需种子样本 | 高，需协议/格式规范 |
| 输入有效性 | 较低，大量无效输入 | 较高，符合语法结构 |
| 代码深度覆盖 | 依赖种子质量，可能较浅 | 可深入解析逻辑 |
| 实现复杂度 | 简单 | 复杂，需建模工具 |
| 嵌入式适用场景 | 固件文件解析、简单命令处理 | 通信协议栈、复杂配置解析 |
3.3 覆盖率引导机制
覆盖率引导（Coverage-guided）是现代模糊测试的核心优化技术，其目标是将有限的算力集中在能够探索新代码路径的输入上。在嵌入式环境中，由于目标程序可能运行在模拟器中，覆盖率信息的获取方式与原生程序有所不同。
3.3.1 覆盖率度量指标
最常用的覆盖率指标是边覆盖（Edge Coverage），它记录程序执行过程中经过的基本块之间的转移关系。与块覆盖（Block Coverage）相比，边覆盖能够区分不同顺序的执行路径，提供更细粒度的反馈。例如，AFL（American Fuzzy Lop）使用一个64KB的位图来记录边覆盖信息，每个边对应位图中的一个位置，通过哈希计算得到。当执行新边时，对应位置被置位，模糊测试引擎据此判断该输入是否“有趣”（即触发了新路径）。
在嵌入式场景中，由于目标可能运行在无MMU的MCU上，无法直接使用AFL的插桩方式。常用的替代方案包括：
- QEMU模式：利用QEMU的用户态模拟功能，在翻译基本块时插入覆盖率记录代码，无需修改目标固件。
- 硬件跟踪：使用ARM CoreSight或RISC-V Trace等硬件调试模块，实时捕获程序执行流，但需要额外的调试硬件支持。
- 源码插桩：若拥有目标固件的源码，可在编译时使用GCC的
-fsanitize-coverage=trace-pc选项插入回调函数，将覆盖率信息通过串口或共享内存传出。
3.3.2 反馈驱动的输入保留策略
覆盖率引导的核心逻辑是：只有触发了新覆盖的输入才值得保留并作为后续变异的种子。这一策略使得模糊测试能够“爬山式”地探索程序的不同区域。然而，在嵌入式环境中，由于内存限制，种子池的大小需要严格控制。通常采用以下策略：
- 全局去重：仅保留首次触发某条边的输入，后续重复触发相同边的输入直接丢弃。
- 能量分配：根据输入触发的“稀有边”数量分配变异次数，稀有边多的输入获得更多变异机会。
- 周期清理：定期评估种子池中每个种子的贡献度（如最近N次执行中是否触发新边），移除长期无贡献的种子。
3.4 崩溃检测与去重
崩溃检测是模糊测试的“终点线”，其准确性直接决定漏洞发现的可靠性。在嵌入式环境中，崩溃的判定方式与检测灵敏度需要特别设计。
3.4.1 崩溃检测方法
在模拟器环境中，崩溃检测相对直接：QEMU或Unicorn引擎可以捕获目标程序的异常信号（如SIGSEGV、SIGABRT、SIGILL），并记录触发异常的指令地址和内存访问信息。但在真实硬件上，崩溃的表现形式可能更加隐蔽：
- 看门狗复位：程序进入死循环或长时间阻塞，导致看门狗超时复位，此时需要检测复位原因寄存器。
- 硬件异常：如总线错误（Bus Fault）、未定义指令（Undefined Instruction），需要配置中断向量表并捕获异常处理函数。
- 静默数据损坏：程序未崩溃但输出错误结果，这需要额外的断言或校验机制（如CRC校验输出数据）。
为了提升检测灵敏度，建议在目标固件中集成AddressSanitizer（ASAN）或UndefinedBehaviorSanitizer（UBSAN）。这些工具在编译时插入检查代码，能够捕获堆溢出、栈溢出、整数溢出、移位越界等未定义行为，即使程序未直接崩溃也能报告错误。在嵌入式环境中，由于ASAN会显著增加内存占用（通常增加2-3倍），建议在模拟器环境中使用ASAN，而在真实硬件上使用轻量级的硬件异常检测。
3.4.2 崩溃去重策略
模糊测试可能产生大量由同一根因导致的崩溃样本，直接全部保存会浪费存储空间并干扰后续分析。去重的目标是将崩溃样本归类为独立的“漏洞簇”。常用的去重方法包括：
| 去重方法 | 原理 | 优点 | 局限性 |
|---|---|---|---|
| 栈哈希去重 | 对崩溃时的调用栈进行哈希，相同哈希视为同一漏洞 | 实现简单，速度快 | 栈回溯可能因优化而失真，不同漏洞可能共享相同栈帧 |
| 指令序列比对 | 比较崩溃点附近的指令序列（如最后执行的5条指令） | 更精确，能区分不同崩溃路径 | 需要反汇编支持，计算开销较大 |
| 内存访问模式 | 记录崩溃时的访问地址、访问大小、访问类型（读/写） | 能识别同一地址的不同访问方式 | 需要额外的插桩支持 |
在实际操作中，推荐采用两级去重策略：第一级使用栈哈希进行快速过滤，将明显重复的样本丢弃；第二级对剩余样本进行指令序列比对，进一步细分。去重后的样本应进行最小化处理（Minimization），即通过删除输入中的冗余字节，找到能够触发崩溃的最短输入序列。最小化后的样本不仅便于人工分析，也能作为回归测试用例防止漏洞复发。
3.5 实战案例：基于覆盖率引导的Modbus TCP模糊测试
为深入理解上述原理，我们以一个典型的工业物联网场景为例：某嵌入式设备实现了Modbus TCP从站功能，固件运行在ARM Cortex-M4处理器上，通过以太网接收主站请求。目标是发现协议解析中的内存破坏漏洞。
背景与约束：设备内存仅256KB，无法运行ASAN；固件以二进制形式提供，无源码；测试环境使用QEMU的STM32模拟器，支持硬件外设模拟。初始种子从真实设备抓取，包含5个不同功能码的合法请求报文。
初始现象：使用AFL的QEMU模式进行模糊测试，运行24小时后，共执行了约200万次测试，但仅发现2个崩溃样本，且均集中在功能码0x2B（读设备标识）的解析代码中。覆盖率分析显示，整体边覆盖率仅为12%，大量与异常处理相关的代码未被触及。
分析判断：问题可能出在种子质量不足和变异策略不当。Modbus TCP报文包含7字节的MBAP头（事务ID、协议ID、长度字段）和PDU（功能码+数据）。纯随机变异容易破坏MBAP头中的长度字段，导致报文在TCP层就被丢弃，无法进入应用层解析。
实际操作步骤：
- 改进种子：手动构造包含不同长度字段值（0、1、2、253、254、65535）的种子，确保长度字段与PDU实际长度匹配。
- 定制变异策略：编写自定义变异器，固定MBAP头的前4个字节（事务ID和协议ID），仅对长度字段和PDU区域进行变异。同时，在字典中加入Modbus特有的危险值（如功能码0x44、异常码0x0A）。
- 增加覆盖率反馈：在QEMU模式下启用
-fuzzer参数，并设置AFL_INST_LIBS=1以插桩目标固件依赖的库函数。 - 崩溃后处理：编写脚本自动捕获崩溃样本，使用
afl-cmin进行最小化，然后通过addr2line将崩溃地址映射到固件符号（从ELF文件中提取）。
结果对比：优化后，在相同时间内执行了约500万次测试，发现11个崩溃样本，去重后得到4个独立漏洞：一个在功能码0x2B的字符串处理中（栈溢出），一个在功能码0x10（写多个寄存器）的地址计算中（整数溢出导致越界写），一个在异常响应构造中（空指针解引用），一个在TCP连接关闭时的释放后使用（UAF）。覆盖率提升至34%。
风险与代价：定制变异策略需要约2天的开发时间，且针对Modbus的定制无法直接复用到其他协议。此外，QEMU模拟器与真实硬件在时序行为上存在差异，UAF漏洞在真实设备上可能因内存布局不同而无法稳定复现。
复盘经验：嵌入式模糊测试的成功关键在于“理解目标”与“定制工具”。盲目使用通用模糊器往往效率低下。建议在测试前先对目标固件进行静态分析（如使用Ghidra识别解析函数入口），再针对性地设计种子和变异策略。同时，建立崩溃样本的自动化分析流水线，将去重、最小化、符号化映射等步骤固化到CI/CD流程中，可显著提升漏洞响应速度。