Binvariants: Fuzzing de Binarios Guiado por Invariantes a Nivel de Registro

Este repositorio proporciona el código fuente de Binvariants: un prototipo de framework de fuzzing que aprovecha las violaciones de invariantes probables a nivel de registro para el fuzzing de binarios.

Este trabajo se presenta en nuestro artículo Binvariants: Enhancing Fuzzing of Closed-source Binary Executables via Register-level Likely Invariants, que aparecerá en la Conferencia Internacional ACM de 2026 sobre Fundamentos de Ingeniería de Software (FSE’26).

• Instalación de Binvariants
• Uso de Binvariants
• Notas Adicionales
• Casos de Errores Encontrados

Instalación de Binvariants

Binvariants está construido sobre AFL++ y QEMU-AFL. Instala las dependencias requeridas por estos proyectos antes de configurar Binvariants:

sudo apt-get update
sudo apt-get install -y build-essential python3-dev automake cmake git flex bison libglib2.0-dev libpixman-1-dev python3-setuptools cargo libgtk-3-dev
# try to install llvm-18 and install the distro default if that fails
sudo apt-get install -y lld-18 llvm-18 llvm-18-dev clang-18 || sudo apt-get install -y lld llvm llvm-dev clang
sudo apt-get install -y gcc-$(gcc --version|head -n1|sed 's/\..*//'|sed 's/.* //')-plugin-dev libstdc++-$(gcc --version|head -n1|sed 's/\..*//'|sed 's/.* //')-dev
sudo apt-get install -y meson ninja-build # for QEMU mode

Binvariants incluye dos componentes:

• 1-Invariant_Learner/
• 2-Fuzzer/

Para construir cada uno, navega a su directorio correspondiente y ejecuta los siguientes comandos:

./1_patch.sh
./2_build.sh

Uso de Binvariants

Example/ contiene los scripts de ejemplo y casos de prueba para usar Binvariants para fuzzear el binario nconvert. Puedes modificar los scripts para fuzzear otros binarios.

Configuración

Antes de usar Binvariants, deshabilita ASLR, ya que necesita direcciones de bloques básicos consistentes entre el aprendizaje de invariantes y el fuzzing:

sudo sysctl -w kernel.randomize_va_space=0

Aprendizaje de Invariantes Probables a Nivel de Registro (RLIs)

Para aprender invariantes, ejecuta:

./Example/1-learn_invs.sh [Binvariants_Root]

Los RLIs inferidos se guardarán en el directorio especificado por BINV_TRACES_DIR en 1-learn_invs.sh, con el nombre: [PROGRAM]_trace_qemu_invs.

Fuzzing con RLIs

Para iniciar el fuzzing con Binvariants, ejecuta:

./Example/2-fuzz.sh [Binvariants_Root] [Fuzz_Time] [Trial_Number]

Por ejemplo, ejecuta la primera prueba de una campaña de fuzzing de 48 horas desde el directorio raíz de Binvariants:

./Example/2-fuzz.sh $PWD 48h 1

Notas Adicionales

A continuación se presentan posibles mejoras para Binvariants.

Aprendizaje Adaptativo de Invariantes

Actualmente, Binvariants aprende invariantes antes del fuzzing y luego ejecuta el fuzzing por separado. Una posible mejora es aprender invariantes durante el fuzzing y actualizarlos a medida que ocurren violaciones, permitiendo que la retroalimentación evolucione con el tiempo.

Posibles consideraciones de diseño:

1. Si los invariantes se actualizan durante la ejecución de un caso de prueba que posteriormente falla o agota el tiempo, es posible que sea necesario revertir la actualización. Una solución práctica es aplicar las actualizaciones a una copia de los invariantes y confirmarlas solo si el caso de prueba se completa normalmente (es decir, FSRV_RUN_OK).
2. A medida que el fuzzing se ejecuta y los invariantes se actualizan, las violaciones naturalmente se volverán menos frecuentes. Esto corre el riesgo de que AFL++ seleccione repetidamente casos de prueba de etapas tempranas (que provocan más violaciones pero representan estados del programa menos evolucionados). Puede ser necesario un ajuste de weight/perf_score/top_rated en el lado de AFL++ para garantizar que se seleccionen casos de prueba posteriores más representativos.

Invariantes entre Bloques Básicos

Binvariants actualmente se centra en invariantes de un solo bloque. Una posible mejora es admitir invariantes entre bloques. Esto requiere nuevas estructuras de datos para rastrear los valores de los registros a través de los límites de los bloques, así como instrumentación adicional para verificar violaciones cuando el control se transfiere entre bloques.

Casos de Errores Encontrados

Si encuentras algún otro error usando Binvariants, ¡por favor notifícanos!

Agradecimientos

Este material se basa en trabajo apoyado por la National Science Foundation (NSF) bajo el Premio No. 2419798, y por la Defense Advanced Research Projects Agency (DARPA) bajo el Premio No. FA8750-24-2-0002, Sub-premio No. GR105409-SUB00001384.