finish 5.1

doc/5.1_fuzzing.md

@@ -2,7 +2,6 @@
 
 - [基本原理](#基本原理)
 - [方法实现](#方法实现)
-- [实例分析](#实例分析)
 - [参考资料](#参考资料)
 
 
@@ -37,8 +36,67 @@
 
 
 ## 方法实现
+#### 输入数据的关联分析
+通常情况下，应用程序都会对输入的数据对象进行格式检查。通过分析输入到程序的数据对象的结构以及其组成元素之间的依赖关系，构造符合格式要求的测试用例从而绕过程序格式检查，是提高模糊测试成功率的重要步骤。
+
+应用程序的输入数据通常都遵循一定的规范，并具有固定的结构。例如：网络数据包通常遵守某种特定的网络协议规范，文件数据通常遵守特定的文件格式规范。输入数据结构化分析就是对这些网络数据包或文件格式的结构进行分析，识别出特定的可能引起应用程序解析错误的字段，有针对性地通过变异或生成的方式构建测试用例。通常关注下面几种字段：表示长度的字段、表示偏移的字段、可能引起应用程序执行不同逻辑的字段、可变长度的数据等。
+
+应用程序所能处理的数据对象是非常复杂的。例如 MS Office 文件是一种基于对象嵌入和链接方式存储的复合文件，不仅可以在文件中嵌入其他格式的文件，还可以包含多种不同类型的元数据。这种复杂性导致在对其进行模糊测试的过程中产生的绝大多数测试数据都不能被应用程序所接受。数据块关联模型是解决这一问题的有效途径。该模型以数据块为基本元素，以数据块之间的关联性为纽带生成畸形测试数据。其中，数据块是数据块关联模型的基础。通常一个数据对象可以分为几个数据块，数据块之间的依赖关系称为数据关联。
+
+数据块的划分通常遵循三个基本原则：
+- 使数据块之间的关联性尽可能的小
+- 将具有特定意义的数据划分为一个数据块
+- 将一段连续且固定不变的数据划分为同一个数据块
+
+数据块关联模型的划分：
+- 关联方式
+  - 内关联：指同一数据对象内不同数据块之间的关联性。
+    - 长度关联：数据对象内某一个或几个数据块表示另一数据块的长度。是文件格式、网络协议和ActiveX控件模糊测试中最常见的一种数据关联方式。
+  - 外关联：指属于多个不同数据对象的多个不同数据块之间存在的关联性。
+    - 内容关联：某个数据对象的某个数据块表示另一个（或同一个）数据对象的另一个数据块的值。在需要用户验证的网络协议应用中经常出现。
+- 关联强度
+  - 强关联：关联数据块的数量大于等于非关联数据块的数量。
+  - 弱关联：关联数据块的数量小于非关联数据块的数量。
+- 评价标准
+  - 有效数据对象效率：构造的畸形数据对象个数与能够被应用程序所接受处理的数据对象个数的比率。
+
+#### 测试用例集的构建方法
+常见的构建方法有以下几种：
+- 随机方法：简单地产生大量伪随机数据给目标程序。
+- 强制性测试：模糊测试器从一个有效的协议或数据格式样本开始，持续不断地打乱数据包或文件中的每一个字节、字、双字或字符串。
+- 预先生成测试用例：对一个专门规约的研究，以理解所有被支持的数据格式和每种数据格式可接受的取值范围，然后生成用于测试边界条件或迫使规约发生违例的硬编码的数据包或文件。
+- 遗传算法：将测试用例的生成过程转化为一个利用遗传算法进行数值优化的问题，算法的搜索空间即为待测软件的输入域，其中最优解即为满足测试目标的测试用例。首先，使用初始数据和种子生成数据，然后对数据进行测试和评估，并监控测试过程，如果满足测试终止的条件，就输出测试结果，否则通过选择、杂交、变异生成新的数据。
+- 错误注入与模糊启发式
+  - 错误注入：指按照特定的故障模型，用人为的、有意识的方式产生故障，并施加特定故障于待测软件系统中，以加速该系统错误和失效的发生。
+    - 通常可注入的错误类型：内存错误、处理器错误、通信错误、进程错误、消息错误、网络错误、程序代码错误等
+  - 模糊启发式：将模糊字串或模糊数值列表中包含的特定潜在危险值称作模糊启发式。
+    - 边界整型值：整型值上溢、下溢、符号溢出等。
+    - 字符串重复：堆栈溢出等。
+    - 字段分隔符：将非字母数字字符如空格、制表符等随机地包含到模糊测试字符串中。
+    - 格式化字符串：最好选择 "%s"、"%n" 等包含到字符串中。
+    - 字符转换和翻译：特别关注对扩展字符的处理。
+    - 目录遍历：在URL中附加 "../" 之类的符号将导致攻击者访问未授权的目录。
+    - 命令注入：向 "exec()"、"system()" 之类的 API 调用传递未经过滤的用户数据。
+
+#### 测试异常分析
+在程序动态分析过程中，相关信息的获取途径有下面几种：
+- 通过程序的正常输出获取信息
+- 通过静态代码插桩获取信息
+- 通过动态二进制插桩获取信息
+- 通过虚拟机获取信息
+- 通过调试接口或者调试器获取信息
+
+#### 模糊测试框架
+模糊测试框架是一个通用的模糊器，可以对不同类型的目标进行模糊测试，它将一些单调的工作抽象化，并且将这些工作减少到最低程度。通常模糊测试框架都包含以下几个部分：
+- 模糊测试数据生成模块
+  - 原始数据生成模块：可以直接读取一些手工构造的正常数据，也可以根据结构定义来自动生成正常的测试数据
+  - 畸形数据生成模块：在原始数据的基础上做一些修改和变形，从而生成最终的畸形数据
+- 动态调试模块：利用操作系统提供的调试接口来实现动态调试功能，以捕获被调试程序产生的异常信息
+- 执行监控模块：在动态调试模块的基础上，在被调试程序运行过程中，实现对被调试程序执行状态的监控，从而决定什么时候终止被调试程序的运行
+- 自动脚本模块：在执行监控模块的基础上，提供更复杂的监控功能
+- 异常过滤模块：在动态调试模块的基础上，对异常产生的结果实时过滤
+- 测试结果管理模块：测试结果数据库中除了异常信息之外，产生异常的畸形数据也会被保存。利用测试结果数据库，可以实现回归测试。
 
-## 实例分析
 
 ## 参考资料
 - [Fuzzing](https://en.wikipedia.org/wiki/Fuzzing)