发布于 由admin

Fuzz Testing PHP扩展：利用libFuzzer对C语言输入进行自动化崩溃测试

好的，下面是一篇关于使用libFuzzer对PHP扩展进行Fuzz测试的技术文章。

Fuzz Testing PHP扩展：利用libFuzzer对C语言输入进行自动化崩溃测试

大家好，今天我们来探讨一个重要的软件安全话题：Fuzz Testing，以及如何利用它来测试PHP扩展，特别是针对C语言编写的部分。PHP扩展通常是用C/C++编写的，这使得它们容易受到内存安全漏洞的影响。Fuzzing，也称为模糊测试，是一种有效的发现这些漏洞的方法。我们将重点介绍如何使用libFuzzer，一个强大的覆盖引导的Fuzzing引擎，来自动化这个过程。

什么是Fuzz Testing？

Fuzzing是一种自动化测试技术，它通过向程序输入大量的随机或半随机数据，来查找程序中的漏洞和错误。其核心思想是，通过观察程序在处理这些畸形或异常输入时的行为，我们可以发现潜在的崩溃、内存泄漏、死锁等问题。

传统的单元测试侧重于验证程序在预期输入下的行为，而Fuzzing则专注于发现程序在非预期输入下的行为，这两种测试方法是互补的。Fuzzing特别擅长发现那些难以通过手动测试或传统测试方法发现的边界情况和边缘情况。

为什么对PHP扩展进行Fuzzing？

PHP扩展通常是用C或C++编写的，它们直接与底层的操作系统和硬件交互。这意味着C/C++扩展更容易受到诸如缓冲区溢出、内存泄漏、空指针引用等内存安全问题的困扰。如果一个PHP扩展存在漏洞，它可能会导致PHP进程崩溃，甚至可能被攻击者利用来执行任意代码。

对PHP扩展进行Fuzzing可以帮助我们：

  • 发现潜在的安全漏洞： 找到那些可能被攻击者利用的缺陷。
  • 提高代码质量： 通过发现错误，我们可以修复它们，从而提高代码的健壮性和可靠性。
  • 减少维护成本： 在发布前发现并修复漏洞，可以避免以后修复漏洞所需的时间和精力。
  • 增强用户信任： 通过确保PHP扩展的安全性，我们可以增强用户对我们软件的信任。

libFuzzer简介

libFuzzer是一个覆盖引导的Fuzzing引擎，它是LLVM项目的一部分。它通过不断生成新的输入并监控代码覆盖率来工作。当libFuzzer发现一个新的输入可以覆盖到之前没有覆盖到的代码路径时，它会保留这个输入，并将其作为后续输入生成的基础。这种方法可以有效地引导Fuzzing过程，使其能够更快地发现漏洞。

libFuzzer的优点包括：

  • 易于使用： libFuzzer提供了一个简单的API，使得我们可以很容易地将其集成到我们的测试流程中。
  • 高性能： libFuzzer是经过高度优化的，可以快速生成和测试大量的输入。
  • 覆盖引导： libFuzzer利用代码覆盖率信息来引导Fuzzing过程，从而提高效率。
  • 集成性好： libFuzzer可以与Clang和LLVM工具链无缝集成。

准备工作：环境搭建

在开始之前，我们需要确保我们的环境中安装了必要的工具和库。

  1. LLVM/Clang： libFuzzer是LLVM项目的一部分，所以我们需要安装LLVM和Clang。推荐使用最新版本。

    # Debian/Ubuntu
sudo apt-get update
sudo apt-get install clang llvm

    或者从 LLVM 官网下载预编译的二进制文件: https://releases.llvm.org/

  2. PHP开发环境： 我们需要安装PHP的开发环境，包括phpize和php-config。

    # Debian/Ubuntu
sudo apt-get install php-dev

  3. 构建 PHP 扩展: 假设我们有一个需要测试的名为 my_extension 的 PHP 扩展. 我们需要能够构建它.

    cd my_extension
phpize
./configure
make

编写Fuzz目标函数

Fuzz目标函数是libFuzzer的入口点。它接收一个字节数组作为输入，并将这个输入传递给被测试的代码。Fuzz目标函数的签名必须是：

extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size);

其中：

  • data 是指向输入数据的指针。
  • size 是输入数据的长度。

下面是一个简单的Fuzz目标函数的例子，它测试一个假设的PHP扩展函数 my_extension_parse_input()，该函数解析输入字符串并返回一个整数。

#include <stdint.h>
#include <stddef.h>
#include <iostream>
#include "php.h" // 包含 PHP 的头文件
#include "my_extension.h" // 包含你的 PHP 扩展的头文件，例如 "ext/my_extension/php_my_extension.h"

extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size) {
  // 将输入数据转换为字符串
  std::string input_string(reinterpret_cast<const char*>(data), size);

  // 初始化 PHP 环境 (如果 my_extension_parse_input 需要)
  zend_string *zstr = zend_string_init(input_string.c_str(), input_string.length(), 0);
  zval retval;

  // 调用被测试的 PHP 扩展函数
  my_extension_parse_input(zstr, &retval); // 假设 my_extension_parse_input 接受 zend_string 和 zval*

  // 清理 PHP 环境
  zend_string_release(zstr);
  zval_dtor(&retval);

  return 0;
}

重要说明：

  • 包含正确的头文件： 确保包含 php.h 和你扩展的头文件。 这些头文件包含了 PHP 内部数据结构和函数声明。
  • 初始化和清理 PHP 环境： 如果你的扩展函数需要访问 PHP 的内部数据结构（例如 zval），你需要在 Fuzz 目标函数中正确地初始化和清理 PHP 环境。 这通常涉及分配和释放内存，以及初始化和销毁 zval 结构。 zend_string_init 和 zend_string_release 用于创建和释放 PHP 字符串。 zval_dtor 用于销毁 zval 结构.
  • 类型转换： 将 libFuzzer 提供的 uint8_t* 数据转换为你的扩展函数期望的类型。 在这个例子中，我们将其转换为 std::string 和 zend_string。
  • 错误处理： 在实际应用中，你可能需要在 Fuzz 目标函数中添加错误处理代码，以防止程序崩溃或产生意外行为。例如，检查输入数据是否有效，或者捕获可能抛出的异常。
  • 线程安全： 确保你的扩展函数是线程安全的，因为 libFuzzer 可能会在多个线程中并发地运行 Fuzz 目标函数。
  • ZTS (Zend Thread Safety): 如果你的 PHP 安装启用了 ZTS，你需要在编译 Fuzz 目标函数时启用 ZTS。这通常需要定义 ZTS 宏。

构建Fuzzing二进制文件

我们需要将Fuzz目标函数编译成一个可执行文件，以便libFuzzer可以运行它。 使用 Clang 编译, 链接 libFuzzer 和你的扩展.

clang++ -std=c++11 -I/path/to/php/include -I/path/to/php/include/main -I/path/to/php/include/Zend 
  -fsanitize=address,fuzzer my_fuzz_target.cpp -o my_fuzz_target 
  -L/path/to/php/extension -lmy_extension -lstdc++

解释:

  • -std=c++11: 指定 C++ 标准为 C++11 或更高版本。
  • -I/path/to/php/include: 指定 PHP 头文件的路径。 你需要将 /path/to/php/include 替换为你的 PHP 安装的实际路径。 通常在 /usr/include/php 或 /usr/include/php7 等目录下。
  • -I/path/to/php/include/main: 指定 PHP main 头文件的路径
  • -I/path/to/php/include/Zend: 指定 Zend 头文件的路径
  • -fsanitize=address,fuzzer: 启用 AddressSanitizer (ASan) 和 Fuzzer。ASan 是一个内存错误检测器，它可以帮助我们发现内存泄漏、缓冲区溢出等问题。
  • my_fuzz_target.cpp: 你的 Fuzz 目标函数所在的源文件。
  • -o my_fuzz_target: 指定输出文件的名称。
  • -L/path/to/php/extension: 指定你的 PHP 扩展的库文件所在的路径. 这通常是你的扩展的 modules 目录. 你需要替换为实际路径
  • -lmy_extension: 链接你的 PHP 扩展库。 libmy_extension.so (或类似的名称) 需要存在.
  • -lstdc++: 链接 C++ 标准库.

关键点：

  • PHP 头文件路径： 确保指定正确的 PHP 头文件路径。 错误的路径会导致编译错误。
  • 链接扩展： 确保正确地链接你的 PHP 扩展库。 如果链接失败，libFuzzer 将无法调用你的扩展函数。
  • AddressSanitizer： AddressSanitizer (ASan) 是一个强大的内存错误检测器。 强烈建议在 Fuzzing 过程中启用 ASan。
  • ZTS: 如果你的 PHP 安装使用了线程安全 (ZTS)，你需要添加 -DZTS 标志到编译命令中。

运行Fuzzing

现在我们已经准备好了Fuzzing二进制文件，我们可以使用libFuzzer来运行Fuzzing。

./my_fuzz_target -seed_corpus=seed_corpus -max_total_time=600

解释：

  • ./my_fuzz_target: 运行 Fuzzing 二进制文件。
  • -seed_corpus=seed_corpus: 指定种子语料库的目录。种子语料库是一组初始输入，libFuzzer 将从这些输入开始生成新的输入。 你可以创建一个包含一些有效和无效输入的目录作为种子语料库。
  • -max_total_time=600: 指定 Fuzzing 运行的最长时间（秒）。 这里设置为 600 秒 (10 分钟)。

创建种子语料库:

种子语料库可以包含一些有效的和无效的输入，以便引导 Fuzzing 过程。 例如，如果你的扩展函数解析 JSON 数据，你可以创建一个包含一些有效的 JSON 字符串和一些无效的 JSON 字符串的目录作为种子语料库。

mkdir seed_corpus
echo '{"key": "value"}' > seed_corpus/valid.json
echo '{"key":' > seed_corpus/invalid.json

监控Fuzzing过程:

libFuzzer 会在运行时输出一些信息，包括：

  • 代码覆盖率： libFuzzer 会显示当前的代码覆盖率。 覆盖率越高，说明 Fuzzing 过程越有效。
  • 崩溃信息： 如果 libFuzzer 发现了一个崩溃，它会输出崩溃信息，包括崩溃的类型、崩溃的地址和触发崩溃的输入。
  • 新特性： libFuzzer 会显示它发现的新特性，例如新的代码覆盖率或新的执行路径。

分析崩溃报告

当libFuzzer发现一个崩溃时，它会生成一个崩溃报告和一个触发崩溃的输入文件。我们可以使用这些信息来分析崩溃的原因并修复漏洞。

崩溃报告通常包含以下信息：

  • 崩溃类型： 例如，SIGSEGV (段错误)、SIGABRT (中止) 等。
  • 崩溃地址： 导致崩溃的内存地址。
  • 堆栈跟踪： 导致崩溃的函数调用序列。
  • 触发崩溃的输入： 导致崩溃的输入数据。

要分析崩溃，我们可以使用以下步骤：

  1. 重现崩溃： 使用触发崩溃的输入文件来重现崩溃。
  2. 分析堆栈跟踪： 分析堆栈跟踪，找到导致崩溃的函数。
  3. 检查代码： 检查导致崩溃的函数的代码，找到漏洞所在。
  4. 修复漏洞： 修复漏洞并重新编译代码。
  5. 重新运行Fuzzing： 重新运行Fuzzing，确保漏洞已经修复。

例如，假设 libFuzzer 发现了一个缓冲区溢出漏洞，并生成了一个名为 crash-abcdef1234567890 的崩溃输入文件。 我们可以使用以下命令来重现崩溃：

./my_fuzz_target crash-abcdef1234567890

然后，我们可以使用 GDB 或其他调试器来分析崩溃的堆栈跟踪，找到缓冲区溢出发生的位置，并修复漏洞。

一个更复杂的例子： Fuzzing JSON 解析器

假设我们的 PHP 扩展包含一个 JSON 解析器，我们想要使用 libFuzzer 来测试这个解析器。

首先，我们需要创建一个 Fuzz 目标函数，它将接收一个字节数组作为输入，并将其传递给 JSON 解析器。

#include <stdint.h>
#include <stddef.h>
#include <iostream>
#include <string>
#include "php.h"
#include "ext/json/php_json.h" // 假设你的扩展使用了 PHP 的 JSON 解析器

extern "C" int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size) {
  // 将输入数据转换为字符串
  std::string input_string(reinterpret_cast<const char*>(data), size);

  // 初始化 PHP 环境 (如果需要)
  zend_string *zstr = zend_string_init(input_string.c_str(), input_string.length(), 0);
  zval retval;

  // 调用 PHP 的 JSON 解析器
  if (php_json_decode(zstr, &retval, 0, 0)) {
      // 解析成功
  } else {
      // 解析失败
  }

  // 清理 PHP 环境
  zend_string_release(zstr);
  zval_dtor(&retval);

  return 0;
}

然后，我们可以使用 Clang 编译 Fuzz 目标函数：

clang++ -std=c++11 -I/path/to/php/include -I/path/to/php/include/main -I/path/to/php/include/Zend 
  -fsanitize=address,fuzzer json_fuzz_target.cpp -o json_fuzz_target 
  -lstdc++

最后，我们可以使用 libFuzzer 运行 Fuzzing：

./json_fuzz_target -seed_corpus=json_seed_corpus -max_total_time=600

在这个例子中，我们使用了 PHP 的内置 JSON 解析器 php_json_decode()。 你可以替换为你自己的 JSON 解析器。

最佳实践

  • 使用种子语料库： 使用种子语料库可以帮助 libFuzzer 更快地找到漏洞。 种子语料库应该包含一些有效的和无效的输入，以便引导 Fuzzing 过程。
  • 使用 AddressSanitizer： AddressSanitizer (ASan) 是一个强大的内存错误检测器。 强烈建议在 Fuzzing 过程中启用 ASan。
  • 增加 Fuzzing 时间： Fuzzing 时间越长，发现漏洞的机会就越大。
  • 定期更新 Fuzzing 工具： 定期更新 libFuzzer 和其他 Fuzzing 工具，以获取最新的功能和修复。
  • 自动化 Fuzzing： 将 Fuzzing 集成到你的持续集成 (CI) 系统中，以便定期运行 Fuzzing 并及早发现漏洞。
  • 分析覆盖率报告： 分析覆盖率报告，找到未覆盖的代码路径，并添加新的种子输入，以便覆盖这些代码路径。

常见问题

  • 编译错误： 编译错误通常是由于缺少头文件或库文件导致的。 确保指定正确的头文件路径和库文件路径。
  • 运行时错误： 运行时错误通常是由于内存错误或逻辑错误导致的。 使用 AddressSanitizer 或其他调试器来分析运行时错误。
  • Fuzzing 没有发现任何漏洞： 如果 Fuzzing 没有发现任何漏洞，可能是因为代码质量很高，或者 Fuzzing 时间不够长，或者种子语料库不够好。 尝试增加 Fuzzing 时间，改进种子语料库，或者使用其他 Fuzzing 工具。
  • Fuzzing 速度很慢： Fuzzing 速度可能受到多种因素的影响，包括 CPU 性能、内存大小、代码复杂度等。 尝试使用更快的 CPU，增加内存大小，或者优化代码。
  • 与PHP扩展的兼容性问题: 某些PHP扩展可能与libFuzzer不完全兼容，导致Fuzzing过程不稳定或出现异常。需要仔细检查扩展代码，确保它在多线程环境下安全运行，并且能够正确处理各种边界情况。

更进一步：使用 AFL++

虽然我们专注于 libFuzzer，但值得一提的是 AFL++ (American Fuzzy Lop++) 是另一个流行的覆盖引导 Fuzzing 引擎。 AFL++ 通常被认为比 libFuzzer 更擅长发现某些类型的漏洞，并且提供了更多的自定义选项。 你可以考虑将 AFL++ 与 libFuzzer 结合使用，以获得更好的 Fuzzing 效果。 将 AFL++ 集成到 PHP 扩展 Fuzzing 流程中与 libFuzzer 类似，但涉及构建略有不同的 Fuzz 目标，并使用 AFL++ 的特定工具链编译。

总结

本文介绍了如何使用libFuzzer对PHP扩展进行Fuzzing。Fuzzing是一种有效的发现软件漏洞的方法，它可以帮助我们提高代码质量、减少维护成本和增强用户信任。通过编写Fuzz目标函数、构建Fuzzing二进制文件和运行Fuzzing，我们可以自动化地测试我们的PHP扩展，并发现潜在的安全漏洞。希望这篇文章能够帮助你开始使用Fuzzing来保护你的PHP扩展。

持续改进：未来的工作

虽然我们已经掌握了使用libFuzzer进行PHP扩展Fuzzing的基本方法，但仍有许多方面可以进一步改进和探索，例如，持续改进种子语料库，针对特定类型的漏洞进行定制化Fuzzing，将Fuzzing集成到CI/CD流程中，以及探索与其他Fuzzing工具的集成。这些努力将有助于我们更有效地发现和修复PHP扩展中的安全漏洞，从而提高软件的整体质量和安全性。

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注