Fuzzing yog dab tsi?
Intro: Fuzzing yog dab tsi?
Hauv 2014, Suav hackers hacked rau hauv Community Health Systems, ib qho txiaj ntsig hauv tsev kho mob hauv Asmeskas, thiab nyiag 4.5 lab tus neeg mob cov ntaub ntawv. Cov hackers siv cov kab laum hu ua Heartbleed uas tau pom nyob rau hauv OpenSSL cryptography tsev qiv ntawv qee lub hlis ua ntej hack.
Heartbleed yog ib qho piv txwv ntawm chav kawm ntawm kev tawm tsam vectors uas tso cai rau cov neeg tawm tsam nkag mus rau lub hom phiaj los ntawm kev xa cov ntawv thov tsis raug cai txaus kom dhau qhov kev kuaj xyuas ua ntej. Thaum cov kws tshaj lij uas ua haujlwm nyob rau ntau qhov chaw ntawm ib qho app ua lawv qhov zoo tshaj plaws los xyuas kom meej tias nws muaj kev ruaj ntseg, nws tsis tuaj yeem xav txog txhua qhov xwm txheej uas tuaj yeem ua rau lub app tawg lossis ua rau nws yooj yim rau kev txhim kho.
Qhov no yog qhov uas 'fuzzing' los rau hauv.
Dab tsi yog Fuzzing Attack?
Fuzzing, fuzz testing, lossis fuzzing nres, yog ib qho kev sim software uas siv tau los pub random, npaj txhij txog, lossis cov ntaub ntawv tsis raug (hu ua fuzz) rau hauv ib qho kev pab cuam. Qhov kev zov me nyuam raug saib xyuas rau kev coj cwj pwm txawv txawv lossis tsis xav txog xws li kev tsis txaus siab, kev sib tsoo, nco txog, xov hangs, thiab nyeem / sau ntawv ua txhaum cai. Cov cuab yeej fuzzing lossis fuzzer yog siv los nthuav tawm qhov ua rau ntawm tus cwj pwm txawv.
Fuzzing yog raws li qhov kev xav tias txhua lub tshuab muaj cov kab mob tos kom pom, thiab tuaj yeem muab sijhawm txaus thiab cov peev txheej los ua. Feem ntau cov tshuab muaj cov parsers zoo heev lossis kev nkag siab zoo tiv thaiv cybercriminals los ntawm exploiting tej hypothetical kab nyob rau hauv ib qhov kev pab cuam. Txawm li cas los xij, raws li peb tau hais los saum no, npog tag nrho cov rooj plaub thaum lub sijhawm txhim kho yog qhov nyuaj.
Fuzzers yog siv rau ntawm cov kev pab cuam uas siv cov tswv yim tsim los yog muaj qee yam kev cia siab ciam teb. Piv txwv li, ib qho kev pab cuam uas lees txais cov ntaub ntawv PDF yuav muaj qee qhov kev lees paub kom ntseeg tau tias cov ntaub ntawv muaj .pdf extension thiab parser los ua cov ntaub ntawv PDF.
Ib qho fuzzer muaj txiaj ntsig tuaj yeem tsim cov khoom siv tau txaus kom dhau los ntawm cov ciam teb no tseem tsis raug txaus kom ua rau tus cwj pwm tsis xav txog nyob deb ntawm qhov program. Qhov no yog qhov tseem ceeb vim tias tsuas yog tuaj yeem dhau los ntawm kev siv tau tsis tau txhais hais tias ntau yog tias tsis muaj kev phom sij ntxiv.
Fuzzers nrhiav kev tawm tsam cov vectors zoo ib yam li thiab suav nrog cov nyiam ntawm SQL txhaj tshuaj, kev sau ntawv hla chaw, tsis muaj dej txaus, thiab tsis kam lees txais kev pabcuam. Tag nrho cov kev tawm tsam no yog tshwm sim los ntawm kev pub mis tsis xav tau, tsis raug, lossis cov ntaub ntawv tsis raug rau hauv ib qho system.
Hom Fuzzers
Fuzzers tuaj yeem raug cais raws li qee tus yam ntxwv:
- Tawm tsam lub hom phiaj
- Fuzz creation method
- Awareness ntawm input qauv
- Kev paub txog kev tsim qauv
1. Lub Hom Phiaj
Qhov kev faib tawm no yog nyob ntawm hom platform uas fuzzer tau siv los kuaj. Fuzzers feem ntau yog siv nrog network raws tu qauv thiab kev siv software. Txhua lub platform muaj ib hom kev tawm tswv yim uas nws tau txais, thiab yog li xav tau ntau hom fuzzers.
Piv txwv li, thaum cuam tshuam nrog cov ntawv thov, txhua qhov kev sim fuzzing tshwm sim ntawm daim ntawv thov ntau yam kev tawm tswv yim, xws li cov neeg siv interface, cov kab lus hais kom ua, cov ntaub ntawv / ntawv nkag, thiab cov ntaub ntawv uploads. Yog li ntawd tag nrho cov inputs generated los ntawm lub fuzzer yuav tsum phim cov channel.
Fuzzers cuam tshuam nrog kev sib txuas lus raws tu qauv yuav tsum cuam tshuam nrog pob ntawv. Fuzzers tsom rau lub platform no tuaj yeem tsim cov pob ntawv forged, lossis tseem ua tus neeg sawv cev los hloov cov pob ntawv cuam tshuam thiab rov ua dua.
2. Fuzz Creation Method
Fuzzers tseem tuaj yeem raug cais raws li lawv tsim cov ntaub ntawv rau fuzz nrog. Keeb kwm, fuzzers tsim fuzz los ntawm kev tsim cov ntaub ntawv random los ntawm kos. Qhov no yog li cas xibfwb Barton Miller, tus thawj coj ntawm cov txheej txheem no, tau ua nws thawj zaug. Hom fuzzer no hu ua a tiam ntawm fuzzer.
Txawm li cas los xij, thaum ib tus tuaj yeem tsim cov ntaub ntawv theoretical uas yuav dhau los ntawm kev cia siab ciam teb, nws yuav siv sijhawm ntau thiab cov peev txheej los ua. Yog li no txoj kev no feem ntau yog siv rau cov tshuab nrog cov qauv nkag yooj yim.
Ib qho kev daws teeb meem rau qhov teeb meem no yog hloov pauv cov ntaub ntawv paub tias siv tau los tsim cov ntaub ntawv siv tau txaus kom dhau ib thaj tsam kev ntseeg siab, tseem tsis raug txaus los ua teeb meem. Ib qho piv txwv zoo ntawm qhov no yog a DNS fuzzer uas yuav siv lub npe sau npe thiab tom qab ntawd tsim cov npe loj ntawm cov npe sau npe txhawm rau txheeb xyuas qhov muaj peev xwm ua phem rau lub hom phiaj tus tswv ntawm tus sau npe.
Txoj hauv kev no yog ntse dua li yav dhau los thiab ua rau txo qis qhov ua tau zoo. Fuzzers uas siv txoj kev no hu ua mutation-raws li fuzzers.
Muaj ib qho thib peb txoj kev tsis ntev los no uas ua rau kev siv cov noob caj noob ces los sib sau ua ke ntawm cov ntaub ntawv fuzz zoo uas xav tau los tawm tsam qhov tsis zoo. Nws ua haujlwm los ntawm kev txuas ntxiv kho nws cov ntaub ntawv fuzz, ua tib zoo xav txog qhov ua tau zoo ntawm txhua qhov kev sim cov ntaub ntawv thaum pub rau hauv ib qho kev pab cuam.
Cov ntaub ntawv tsis zoo tshaj plaws raug tshem tawm ntawm cov ntaub ntawv pov thawj, thaum qhov zoo tshaj plaws yog hloov pauv thiab / lossis ua ke. Cov ntaub ntawv tiam tshiab yog tom qab ntawd siv los sim fuzz dua. Cov fuzzers no raug hu ua evolutionary mutation-raws li fuzzers.
3. Kev paub txog cov qauv kev nkag
Qhov kev faib tawm no yog nyob ntawm seb lub fuzzer puas paub thiab nquag siv cov qauv nkag ntawm qhov kev pab cuam hauv kev tsim cov ntaub ntawv fuzz. A ruam fuzzer (ib qho fuzzer uas tsis paub txog qhov kev pab cuam lub tswv yim qauv) tsim fuzz nyob rau hauv feem ntau random zam. Qhov no tuaj yeem suav nrog ob tiam neeg thiab kev hloov pauv raws li fuzzers.
Yog tias lub fuzzer tau muab nrog cov qauv nkag ntawm qhov kev zov me nyuam, lub fuzzer tuaj yeem sim tsim lossis hloov cov ntaub ntawv xws li nws phim cov qauv muab tswv yim. Txoj hauv kev no ntxiv txo cov peev txheej siv los tsim cov ntaub ntawv tsis raug. Xws li lub fuzzer hu ua a ntse fuzzer.
4. Kev Paub Txog Cov Qauv Txheej Txheem
Fuzzers tseem tuaj yeem raug cais raws li seb lawv puas paub txog kev ua haujlwm sab hauv ntawm qhov kev zov me nyuam lawv tab tom fuzzing, thiab siv qhov kev paub los pab fuzz cov ntaub ntawv tsim. Thaum fuzzers siv los sim ib qho kev pab cuam yam tsis nkag siab txog nws cov qauv sab hauv, nws hu ua black-box testing.
Fuzz cov ntaub ntawv tsim tawm thaum kuaj lub thawv dub feem ntau yog random tshwj tsis yog lub fuzzer yog qhov hloov pauv hloov pauv raws li fuzzer, qhov uas nws 'kawm' los ntawm kev saib xyuas cov txiaj ntsig ntawm nws cov fuzzing thiab siv qhov ntawd. ntaub ntawv los kho nws cov ntaub ntawv fuzz.
Kev kuaj dawb-box ntawm qhov tod tes siv tus qauv ntawm qhov kev zov me nyuam cov qauv sab hauv los tsim cov ntaub ntawv fuzz. Txoj hauv kev no tso cai rau lub fuzzer mus rau qhov chaw tseem ceeb hauv qhov kev zov me nyuam thiab sim nws.
Nrov Fuzzing cuab yeej
Muaj ntau fuzzing cuab yeej tawm muaj siv los ntawm cwj mem testers. Qee qhov nrov tshaj plaws yog:
Kev txwv ntawm Fuzzing
Thaum Fuzzing yog ib qho txiaj ntsig zoo rau kev ntsuas cwj mem, nws tsis yog yam tsis muaj qhov yuam kev. Qee qhov no yog:
- Nws yuav siv sij hawm ntev heev los khiav.
- Kev sib tsoo thiab lwm yam kev coj cwj pwm tsis zoo uas pom thaum lub sijhawm kuaj lub thawv dub ntawm qhov kev pab cuam tuaj yeem nyuaj, yog tias tsis tuaj yeem txheeb xyuas lossis kho qhov teeb meem.
- Tsim cov qauv kev hloov pauv rau cov ntse hloov pauv-raws li fuzzers tuaj yeem siv sijhawm ntev. Qee lub sij hawm, tej zaum nws yuav tsis tuaj yeem ua tau vim tias cov qauv nkag tau yog tus tswv lossis tsis paub.
Txawm li cas los xij, nws yog ib qho cuab yeej zoo nkauj thiab tsim nyog rau txhua tus neeg uas xav pom cov kab ua ntej cov neeg phem.
xaus
Fuzzing yog cov txheej txheem ntsuas cwj mem muaj zog uas tuaj yeem siv los nthuav tawm qhov tsis zoo hauv software. Muaj ntau ntau hom fuzzers, thiab cov fuzzers tshiab tau tsim txhua lub sijhawm. Thaum fuzzing yog ib qho cuab yeej siv tau zoo kawg, nws muaj nws cov kev txwv. Piv txwv li, fuzzers tsuas tuaj yeem nrhiav tau ntau qhov tsis zoo thiab lawv tuaj yeem yog cov peev txheej siv ntau heev. Txawm li cas los xij, yog tias koj xav sim cov txheej txheem zoo kawg no rau koj tus kheej, peb muaj dawb DNS Fuzzer API uas koj tuaj yeem siv ntawm peb lub platform.
Yog li cas koj tseem tos?
