安全公司 Check Point 使用流行 Windows 模糊測試框架WinAFL進(jìn)行了為期50天的實(shí)驗(yàn)，在 Adobe Reader 中找出53個(gè)新關(guān)鍵漏洞。

該公司透露，2017年報(bào)告的新漏洞總數(shù)約為1.4萬個(gè)，遠(yuǎn)遠(yuǎn)超出以往年份，是2016年的2倍還多。究其原因，可能是模糊測試器(即自動(dòng)化漏洞查找工具)功能的完善和流行度的上升。

模糊測試器并非新鮮事物，早在20多年前就已出現(xiàn)，但如今變得更加強(qiáng)大和易用了。Fortinet預(yù)測AI模糊測試在2019年將迎來增長，因?yàn)槿斯ぶ悄苣芰钅：郎y試器更加高效。該趨勢下零日漏洞利用可能會更加常見，影響設(shè)備及系統(tǒng)的安全保護(hù)過程。

專業(yè)威脅研究人員通常在實(shí)驗(yàn)室環(huán)境下用模糊測試查找硬件和軟件中的漏洞。他們往接口和程序中輸入無效或半隨機(jī)數(shù)據(jù)，然后觀察程序崩潰、潛在內(nèi)存泄漏、無記錄的調(diào)試過程跳轉(zhuǎn)、代碼斷言失敗和其他行為。

安全專家往往避免使用模糊測試器，因?yàn)樗麄冇X得這是一種麻煩。雖然采用在增加，Check Point 還是想看看有多少觸手可得的漏洞被漏掉了。50天的實(shí)驗(yàn)期里，他們在 Adobe Reader 中找出了50多個(gè)新CVE。平均每天找出一個(gè)CVE可不是漏洞研究的正常速度。

Check Point 的報(bào)告中稱，他們選擇了很常見的Windows模糊測試框架WinAFL，測試目標(biāo)也是所能想到的最普通的 Adobe Reader。50天的時(shí)間框架涵蓋了整個(gè)測試項(xiàng)目：逆向工程代碼、搜尋可能有漏洞的庫、編寫框架，以及運(yùn)行模糊測試工具。

WinAFL是AFL的Windows分叉，由谷歌 Project Zero 的 Ivan Fratric 創(chuàng)建并維護(hù)，是能讓研究人員測試閉源程序的另一類工具，在查找文件格式漏洞上很有效果，尤其是對壓縮二進(jìn)制文件而言。

知道WinAFL更善于對付二進(jìn)制格式，研究人員便選擇集中精力攻擊特定解析器。問題就在于找到這么一個(gè)解釋器，并為之編寫框架。在模糊測試領(lǐng)域，框架用于針對 Adobe Reader 之類的復(fù)雜軟件，因?yàn)檎页瞿繕?biāo)函數(shù)(模糊測試過程的入口點(diǎn))從本質(zhì)上講并不那么容易。

在模糊測試會話開始前，研究人員必須確?？偮窂綌?shù)量是在增加的——模糊測試器以該框架探索新路徑的標(biāo)識。如果路徑數(shù)量是零或者接近于零，那就要調(diào)查一下有沒有什么問題了。框架的穩(wěn)定性應(yīng)該在80%以上，且對模糊測試器的準(zhǔn)確性和性能有很大影響。

模糊測試器的運(yùn)行相當(dāng)簡單直觀，但應(yīng)按下列順序進(jìn)行：啟動(dòng)模糊測試器、檢查覆蓋率和崩潰、調(diào)查覆蓋、使用cmin，然后重復(fù)。應(yīng)該寫個(gè)機(jī)器人程序來檢查所有模糊測試器的狀態(tài)，繪制每個(gè)測試器嘗試過的路徑，分類崩潰和產(chǎn)生報(bào)告，以及重啟鎖死的模糊測試器。

必須自動(dòng)化上述操作，否則模糊測試就是相當(dāng)繁瑣而容易出錯(cuò)的。

Check Point 的策略讓他們在 Adobe Reader 和 Adobe Pro 中發(fā)現(xiàn)了53個(gè)關(guān)鍵漏洞，且他們針對不同解析器重復(fù)該過程才得出最終的CVE列表。

Check Point 報(bào)告：

https://research.checkpoint.com/50-adobe-cves-in-50-days/

本文轉(zhuǎn)自安全牛，nana

原文鏈接：https://mp.weixin.qq.com/s/Kboe4i_GgNX2YbtgId8Byg