使用honggfuzz进行Android模糊测试

进行完以上步骤后，就得到了可以进行honggfuzz插桩的AOSP编译环境。在编译包含LLVMFuzzerTestOneInput()函数的模糊测试用例时，使用cc_fuzz（Android.bp）或BUILD_FUZZ_TEST（Android.mk）标签，并在静态库中指定链接libhfcommon.a、libhfuzz.a、libhfnetdriver.a。

模糊测试时，通过启动器honggfuzz指定测试运行参数，多线程启动模糊测试用例，监测并记录异常。

截至本文编写时，honggfuzz更新到2.6版本，下文均以该版本进行源码分析。下图为honggfuzz的框架，本章节涉及到的模块用深绿色标记。

图2-1

honggfuzz.h头文件定义了的honggfuzz_t结构体，用来存储用户从命令行输入的模糊测试参数，比如用例运行参数、输入输出参数、变异参数等等。

图2-2

图2-3

子线程调用subproc.c的subproc_prepareExecvArgs()函数来准备模糊测试用例执行命令，此处run->args拷贝的run->global->exe.cmdline字符串数组，就是命令行参数分割后，“--”后指定的模糊测试用例elf及其运行参数。

图2-4

图2-8

编译honggfuzz获得静态库及启动器的同时，也会产生插桩编译器hfuzz-cc，它的主要作用是调用默认编译工具，并以编译选项的形式链接honggfuzz静态库，进行各类插桩。而AOSP编译环境中需要以cc_fuzz或BUILD_FUZZ_TEST来链接模糊测试用例相关库时，会自动链接到LLVM工具链静态库，导致相关函数无法正常被libhfuzz.a库hook。这导致上文部署时必须以空文件替换原始工具链中包含插桩函数的静态库，否则编译时会发生函数符号重定义错误。

为了保证多线程之间覆盖率共享，honggfuzz通过跨线程的全局结构体globalCovFeedback存储信息。

图2-9

图2-10

pcGuardMap数组反映了插桩函数被调用情况。以__sanitizer_cov_trace_pc_guard()函数为例，其执行流程中会将localCovFeedback->pcGuardMap[*guard_ptr]计数加1。若调用次数已经超过100，honggfuzz就会认为这部分已经经过足够测试，通过原子操作将guard_ptr指向的值置为0，未来不再记录相关信息。接下来会依据pcGuardMap数组已存储的值更新总覆盖率和子线程覆盖率情况，以便honggfuzz进行状态监测。

图2-11

模糊测试子线程的每轮迭代中，在通过subproc_Run()函数调用LLVMFuzzerTestOneInput()函数前，会先调用fuzz_fetchInput()函数决定该轮喂给模糊测试用例的具体语料。

图2-12

fuzz_fetchInput()函数的三个条件分支，分别实现了最小化语料库、动态模糊测试和静态模糊测试的逻辑。最小化语料库不涉及输入用例的变异，我们主要关心后两者。静态模糊测试不启用任何覆盖率反馈，也就是进行Dumb Fuzz；动态模糊测试则是我们一般使用的反馈驱动模糊测试模式。无论哪种模式，都会先判断run->global->exe.externalCommand和run->global->exe.feedbackMutateCommand的值，他们表示两种自定义变异策略加载模式，由命令行输入。如果这两个参数有值，input_prepareDynamicInput()和input_prepareStaticFile()函数的最后一个参数就会置为false，不启用honggfuzz的mangle_mangleContent()函数进行语料变异。

图2-13

以反馈驱动模糊测试模式的为例，input_prepareDynamicInput()函数会遍历语料库，并计算两个关键参数。skip_factor表征当前语料的重要程度，在语料未变异出其他有效语料、长度过大时，honggfuzz会把它输入的概率降低；speed_factor通过平均每轮迭代运行时长和总运行时长综合算出，动态调整每次语料变异的幅度。

图2-14

mangle.c目前实现了20个变异函数接口，在mangle_mangleContent()函数中以函数指针的形式存储在mangleFuncs数组中。

图2-15

run->global->mutate.mutationsPerRun是可通过命令行指定的变异率参数，默认为5。在每轮不同的speed_factor控制下，从mangleFuncs数组中随机取函数对语料进行changesCnt次修改，实现语料变异。

图2-16

学习honggfuzz的变异策略有助于我们实现自定义变异规则，提高模糊测试效率。下面分析各变异函数作用。

mangle_Shrink

选取随机偏移位置和随机长度确定一个数据块，从语料中删除这块数据。

图2-17

图2-18

mangle_Expand

选取随机偏移位置和随机长度确定一个数据块，通过mangle_Inflate()函数将语料从偏移位置off到结尾向后移动随机长度，效果上是将数据块进行了一次拷贝并插入偏移位置。printable参数由命令行指定，代表是否需要honggfuzz生成的语料是可打印的，如果为true，则将插入的数据块全部替换为空格。

mangle_Bit

随机选取语料的一个字节，将其随机一位取反。

mangle_IncByte

随机选取语料的一个字节，将其值加1。如果传入的printable参数为true，则将该字节映射为可打印字符。

图2-23

mangle_DecByte

随机选取语料的一个字节，将其值减1。如果传入的printable参数为true，则将该字节映射为可打印字符。

图2-24

mangle_NegByte

随机选取语料的一个字节，将该字节取反。如果传入的printable参数为true，会将其变为ASCII码表32~126可打印字符中关于79的对称位置字符（比如33’!’变为125’}’）。