一、AFL简介

• bitflip：按位翻转，1变为0，0变为1
• arithmetic：整数加/减算术运算
• interest：把一些特殊内容替换到原文件中。所谓的特殊内容是AFL预设的一些比较特殊的数，比如可能造成溢出的数。
• dictionary：把自动生成或用户提供的token替换/插入到原文件中
• havoc：“大破坏”，是前面几种变异的组合
• splice：“连接”，此阶段会将两个文件拼接起来得到一个新的文件

二、AFL安装和使用

2.1、安装

• afl-gcc 和afl-g++ 分别对应的是gcc 和g++ 的封装
• afl-clang 和afl-clang++ 分别对应clang 的c 和c++ 编译器封装À。
• afl-fuzz 是AFL 的主体，用于对目标程序进行fuzz。
• afl-analyze 可以对用例进行分析，通过分析给定的用例，看能否发现用例中有意义的字段。
• afl-qemu-trace 用于qemu-mode ，默认不安装 ，需要手工执行qemu-mode 的编译脚本进行编译，后面会介绍。
• afl-plot 生成测试任务的状态图
• afl-tmin 和afl-cmin 对用例进行简化
• afl-whatsup 用于查看fuzz 任务的状态
• afl-gotcpu 用于查看当前CPU 状态
• afl-showmap 用于对单个用例进行执行路径跟踪

2.2、准备被测程序

#include <stdio.h> 
#include <stdlib.h> 
#include <unistd.h> 
#include <string.h> 
#include <signal.h> 

int AFLTest(char *str)
{
    int len = strlen(str);
    if(str[0] == 'A' && len == 6)
    {
        raise(SIGSEGV);
        //如果输入的字符串的首字符为A并且长度为6，则异常退出
    }
    else if(str[0] == 'F' && len == 16)
    {
        raise(SIGSEGV);
        //如果输入的字符串的首字符为F并且长度为16，则异常退出
    }
    else if(str[0] == 'L' && len == 66)
    {
        raise(SIGSEGV);
        //如果输入的字符串的首字符为F并且长度为66，则异常退出
    }
    else
    {
        printf("it is good!\n");
    }
    return 0;
}

int main(int argc, char *argv[])
{
    char buf[100]={0};
    gets(buf);
    //存在栈溢出漏洞
    printf(buf);
    //存在格式化字符串漏洞
    AFLTest(buf);
    
    return 0;
}

2.3、使用 afl-gcc 插桩编译

（编译插桩是指在代码编译期间修改或新增代码）

2.4、准备种子语料库

2.4.1、搜集种子语料库

• libav sample s
• ffmpeg samples
• fuzzdata
• moonshine
• afl generated image test sets
• fuzzer-test-suite

2.4.2、精简语料库

2.4.2.1、去重

afl-cmin -i input_dir -o output_dir -- /path/to/tested/program [params]

2.4.2.2、裁剪体积

2.5、开始测试