这是一个简单的本地目标，AFL++ 完全有能力处理，这里仅作为示例快速给出。Litefuzz 的设计初衷更多是用于网络和 GUI 模糊测试，您深入了解后会看到这一点。

## 为什么

是的，又一款模糊测试器，而且它并不完全符合当前的趋势和惯例。为了满足某些需求，我们做出了一些权衡。这些需求包括：一款默认就能在多个平台上工作、既能模糊测试本地目标也能测试网络目标、并且非常易于使用的模糊测试器。并不是要说服任何人什么，但让我们提供一些背景信息。有些目标需要花费大量精力才能将 AFL 等模糊测试器集成到构建链中。这不是问题，因为本模糊测试器不需要插桩，牺牲了插桩带来的精确覆盖率，换取了易用性和可移植性。AFL 也不原生支持网络模糊测试，虽然有些基于它的项目支持，但它们使用起来远非直接简单，通常需要更多的代码修改和 harness 才能工作（[Libfuzzer](https://llvm.org/docs/LibFuzzer.html) 的情况类似）。

它不支持并行模糊测试，也不支持像[持久模式](https://lcamtuf.blogspot.com/2015/06/new-in-afl-persistent-mode.html)那样能带来惊人速度提升的功能，因此它的扩展能力远不及那些具备这些功能的模糊测试器。再次强调，这不是一款最先进的模糊测试器。但它不需要源代码、不需要正确配置构建系统，也不需要特定的操作系统特性。它甚至可以模糊测试某些网络客户端 GUI 和交互式应用程序。它在很大程度上“就地取材”，许多功能（如变异器和最小化）都是从零开始编写的。

它的设计理念是“拿来即用”，并且我们投入了精力来自动化设置和安装其所需的少数依赖项。这款模糊测试器的编写是为了服务于某个目的，即在许多不同的目标场景和环境中提供价值，而最重要的是，所有模糊测试器最终都应该根据这一点来评判：发现漏洞的能力。而且，它**确实发现了**[漏洞](https://github.com/sec-tools/beta/blob/main/README.md#trophies)。它不假设存在目标源代码，因此可以很好地覆盖闭源软件。它只需少量修改就可以作为自动化的一部分运行，但它的设计初衷是让漏洞研究人员觉得有趣易用。不过，将其视为一个研发项目而非一个完全成熟的产品会更有帮助。另外，它没有那种开箱即用就有点问题、或者需要在现代操作系统上花更多功夫才能运行的复杂设置。

它已在 Ubuntu Linux、Mac 和 Windows 上测试通过，并附带了功能齐全的脚本，这些脚本几乎可以为您完成所有设置，以便搭建一个随时可以进行模糊测试的环境。

**设置脚本完成后，只需几分钟即可开始模糊测试大量不同的目标。**

## 工作原理

**Litefuzz 支持三种模式：本地、客户端和服务器。**

本地模式针对本地二进制文件，在 Linux/Mac 上通过子进程启动，并分别在崩溃时自动使用 GDB 和 LLDB 进行分类，在 Windows 上则使用 [WinAppDbg](https://github.com/MarioVilas/winappdbg)。崩溃信息写入本地崩溃目录，并按故障类型（如读/写访问违规或 SIGABRT/SIGSEGV）以及文件哈希值进行排序。在模糊测试过程中，所有独特的崩溃都会被分类，这些数据以及目标输出（如果有）也会被捕获并作为工件放在同一目录中。也可以使用 `--replay` 并提供崩溃文件来重放崩溃。在 `local` 客户端模式下，输入目录应包含服务器问候语、响应或其他客户端在连接服务器时预期的数据。

目前，网络模糊测试只实现了一次“发送”，没有复杂的会话支持。客户端通过命令行启动，其调试方式与文件模糊测试相同。会设置一个监听器来支持这种场景，是的，这很慢，而且几乎算是手工劳动，但它确实有效。如果检测到崩溃，会在 gdb 中重放以获取分类详情。在 `remote` 客户端模式下，工作方式相同，只是没有本地调试/崩溃分类。在 *local* 服务器模式下，它类似于 local 客户端模式；对于 `remote` 服务器模式，它只需连接到指定目标，并发送用户指定的变异后的样本客户端数据作为输入，但只提供简单的“我们还能连接吗？如果不能，则说明上一次发送可能导致了崩溃”这样的分类。

有几个从零编写的变异函数，它们主要进行随机变异，并从 `-i` 标志指定的输入中随机选择。对于文件模糊测试，只需选择本地模式，并传入目标命令行，用 FUZZ 表示应用程序期望文件名解析的位置，例如 `tcpdump -r FUZZ`，同时提供一个包含要变异的“好文件”的输入目录。对于网络客户端模糊测试，与本地模糊测试类似，但还需要通过 `-a` 提供连接细节。如果您想模糊测试服务器，则使用服务器模式，并提供 `protocol://address:port`，就像客户端一样。

它的模糊测试速度取决于目标消费数据并退出的速度，例如大多数 CLI 应用程序的情况，或者取决于您确定的本地执行或网络连接超时所需的时间，这可能慢得多。这里没有花哨的 exec 或内核技巧。当然，如果您编写一个能快速解析输入并退出的 harness，覆盖目标的特定部分，那也会有帮助。但到了那个程度，如果您能如此接近目标，那么您可能更应该使用[持久模式](https://lcamtuf.blogspot.com/2015/06/new-in-afl-persistent-mode.html)或其他模糊测试器提供的类似功能。

简而言之...

### 它能做什么
- 在 Linux、Windows 和 Mac 上运行，支持 py2/py3
- 模糊测试读取文件/stdin 的 CLI/GUI 二进制文件
- 模糊测试网络客户端和服务器，无论是开源还是专有，支持本地调试或远程调试
- 崩溃的差异分析、最小化、重放、排序和自动分类
- 其他功能，如 TLS 支持、Golang 二进制文件模糊测试以及一些 Mac 专属功能
- 使用多种内置变异器 + pyradamsa（Linux）对输入进行变异

### 它不能做什么
- 原生插桩
- 通过并发任务进行扩展
- 复杂会话模糊测试
- 远程客户端和服务器监控（仅支持基本检查，如能否连接）

## 支持

主要在 **Ubuntu Linux 20.04**（22.04 和 21.04 进行过少量测试）、**Windows 10** 和 **Mac OS 11**（12 进行过少量测试）上进行了测试。该模糊测试器和设置脚本也可能在这些操作系统的略微早期或更新版本上工作，但大部分研究、测试和开发都在这些环境中进行。支持 Python3，并且努力使代码兼容 Python2，因为通过 [WinAppDbg](https://github.com/MarioVilas/winappdbg) 在 Windows 上进行模糊测试需要 Python2。

平台测试主要在基于 Intel 的硬件上进行，但事情似乎在 Apple 的 M1 平台上也能基本工作（明显的例外是 Linux 上的 GDB exploitable 插件可能不受支持，Pyradamsa 也不支持）。setup/ 目录下也有设置脚本，可以自动化大部分或全部任务和依赖项安装。它通常可以在每个平台上模糊测试原生二进制文件，这些文件通常用 C/C++ 编译，但也可以捕获 Golang 二进制文件的崩溃（实验性功能）。

### Python 版本

Linux 和 Mac 支持 Python3，而 Windows 需要 Python2。

为什么 Linux 和 Mac 用 Python3？Pyautogui、Pyradamsa（仅 Linux）、Mac 上更好的 socket 支持。

为什么 Windows 用 Python2？Winappdbg 需要 Python2。

### Linux

使用 GDB 进行调试，使用 [exploitable](https://github.com/jfoote/exploitable) 进行崩溃分类。如果是开源软件，可以用[消毒剂](https://fuzzing-project.org/tutorial2.html)等构建和插桩目标，否则有一些[内存调试器](https://en.wikibooks.org/wiki/Linux_Applications_Debugging_Techniques/Heap_corruption)可以在运行时加载。

此安装以及 Python 依赖项和其他有用的东西已通过 [setup/linux.sh](https://github.com/sec-tools/litefuzz/blob/main/setup/linux.sh) 实现了自动化。推荐的操作系统是 Ubuntu 20.04，因为大部分测试都在该环境中进行。

### Mac

在 OS X 上，我们使用 lldb 而不是 gdb 进行调试，因为它包含在 XCode 命令行工具中。作为管理员或属于开发者组应该可以使用 lldb，但这个行为可能因环境和版本而异，如果其他方法都失败，您可能需要使用 sudo 权限运行它。

您需要手动做的一件事是关闭 SIP（在恢复模式下，通过 cmd+R 或使用 VMware fusion 技巧）。否则，在 Tim Apple 的操作系统上进行模糊测试时，自动分类会失败。

大部分设置已通过 [setup/mac.sh](https://github.com/sec-tools/litefuzz/blob/main/setup/mac.sh) 脚本自动化，因此您可以直接运行它以快速开始。

### Windows

[WinAppDbg](https://github.com/MarioVilas/winappdbg) 用于在 Windows 上进行调试，但有一点小瑕疵：不支持 stdin 模糊测试。

与其他操作系统的自动设置类似，chocolatey 有助于在 Windows 上自动化软件包安装。以管理员身份在 litefuzz 根目录下运行 [setup/windows.bat](https://github.com/sec-tools/litefuzz/blob/main/setup/windows.bat) 以自动化安装。它将安装调试工具和其他依赖项，使一切顺利运行。

### 目标

这是已经测试过并通常支持的目标类型列表。

* 解析文件格式或 stdin 的本地 CLI/GUI 应用程序
  - 支持调试
 
* 解析服务器响应的本地 CLI/GUI 网络客户端
  - 支持 CLI 的调试
  - 对 GUI 的调试支持有限
 
* 解析客户端请求的本地 CLI 网络服务器
  - 支持调试（注意：必须能够作为独立可执行文件运行，否则可视为 *remote*）

* 解析客户端请求的本地 GUI 网络服务器
  - 理论上支持，未经测试

* 解析服务器响应的远程 CLI/GUI 网络客户端
  - 不支持调试

* 解析客户端请求的远程 CLI/GUI 网络服务器
  - 不支持调试
  - 例外情况是使用 Mac 上的 `attach` 或 `reportcrash` 功能

再次说明，该模糊测试器可以在 Linux、Mac 和 Windows 上运行并支持本地应用程序、客户端和服务器，当然也可以独立于目标平台来模糊测试远程内容。

### 分类

* 解析文件格式或 stdin 的本地 CLI/GUI 应用程序
  - 运行应用程序，捕获信号，通过使用触发崩溃的文件在调试器中再次运行来复现
 
* 解析服务器响应的本地 CLI/GUI 网络客户端
  - 运行应用程序，捕获信号，通过使用触发崩溃的文件在调试器中再次运行来复现

* 解析客户端请求的本地 GUI/CLI 网络服务器
  - 在调试器中运行应用程序，捕获信号，通过使用触发崩溃的文件在调试器中再次运行来复现

* 解析服务器响应的远程 CLI/GUI 网络客户端
  - 没有可见性，从远程端收集崩溃信息
  - 可以手动编写辅助脚本以协助分类

* 解析客户端请求的远程 CLI/GUI 网络服务器
  - 没有可见性，从远程端收集崩溃信息
  - 可以手动编写辅助脚本以协助分类
  - Mac 上的例外是 `attach` 和 `reportcrash` 选项，可用于启用一些分类功能

## 快速开始

跨平台的大部分设置已通过 [setup](https://github.com/sec-tools/litefuzz/blob/main/README.md#setup) 目录中的脚本实现自动化。

只需从 litefuzz 根目录运行这些脚本，这可以节省大量时间，并有助于实现自动化部署所需的部分功能。使用虚拟机来搭建一个干净的操作系统和模糊测试环境是很有用的，因为其快照功能也非常方便。

详情请参阅 [INSTALL.md](https://github.com/sec-tools/litefuzz/blob/main/INSTALL.md)。

**安装完成后，请参考初始部分中关于 latex2rtf 的模糊测试示例进行快速运行，或者深入了解本 README 中详述的所有命令行选项和更多示例。**

### Docker

您可以使用 `Dockerfile` 通过 Docker 运行 litefuzz，而无需在本地安装依赖项。这对于快速测试或希望避免在系统上安装依赖项时特别有用。

Dockerfile 有两种工作方式：
- **从仓库内部** - 使用本地文件（更快，包含本地更改）
- **独立使用** - 可以从任何目录构建（从 GitHub 克隆）```bash
# Build the Docker image (from any directory with Dockerfile)
docker build -t litefuzz:latest .

# Run litefuzz
docker run --rm litefuzz:latest python3 litefuzz.py --help

这将：
- 使用1000次迭代对latex2rtf进行模糊测试
- 启用堆调试（`-z`标志）
- 将崩溃保存到主机上的`./crashes`目录
- 使用仓库中内置的输入文件，位于`/litefuzz/input/tex`

如果您想使用主机上自己的输入文件：```bash
# Create input directory with your test files
mkdir -p input/tex crashes
# Add your test files to input/tex/
cp your-test.tex input/tex/

# Run fuzzing with your input files
docker run --rm \
  -v $(pwd)/input:/litefuzz/input \
  -v $(pwd)/crashes:/tmp/crashes \
  litefuzz:latest \
  python3 litefuzz.py -l -c "latex2rtf FUZZ" -i /litefuzz/input/tex -o /tmp/crashes -n 1000 -z

This will run pytest for `test_litefuzz.py` in the main directory and provide PASS/FAIL results once the test run is finished.

#### 崩溃应用测试
在 `test` 文件夹中可以找到一些用于测试不同平台上的崩溃和分类能力的缺陷应用示例。

- (a) 空指针解引用
- (b) 除零错误
- (c) 堆溢出
- (d-gui) GUI 中的格式字符串漏洞
- (e) 客户端缓冲区溢出
- (f) 服务端缓冲区溢出

它们在设置过程中自动构建，你可以在命令行、调试器中运行它们，或者用作模糊测试目标。

**如果在 Windows 命令行上运行，请检查 `事件查看器 -> Windows 日志 -> 应用程序` 以查看崩溃。**

## 选项
有大量不同的选项和功能可用于各种目标场景。以下是对它们的简要解释和一些示例，以帮助理解如何使用它们。

### 崩溃目录
`-o` 允许你指定一个非默认的崩溃目录，默认是本地路径下的 crashes/。你可以用这个来管理同时进行的多个模糊测试运行（针对不同应用）的崩溃文件夹。

### 隔离模式
`-u` 将目标应用程序与正常的模糊测试过程隔离开，例如反复执行或发送数据包并检查崩溃。相反，此模式是为交互式客户端应用程序设计的，例如 Postman，你可以在应用程序内部编写脚本以重复连接来进行客户端模糊测试。目标在调试器内运行，模糊测试暂停以给用户时间点击几个按钮或设置目标的配置使其自动运行，用户恢复后，你就在模糊测试交互式网络客户端了。

`litefuzz -lk -c "/snap/postman/140/usr/share/Postman/_Postman" -i input/http_responses -a tcp://localhost:8080 -u -n 100000 -z`

隔离模式 + 刷新可用于交互式客户端，例如在调试器中运行 FileZilla，但不断按 F5 使其为每次新迭代重新连接到服务器。此外，模糊测试本地 CLI/GUI 服务器仅启动并在调试器内运行一次，以使过程更高效一些。

`--key` 还允许你在模糊测试交互式目标时发送按键，例如通过发送 F5 的“刷新连接”来模糊测试 FileZilla 对 FTP 服务器响应的解析。

`litefuzz -lk -c "filezilla" -a tcp://localhost:2121 -i input/ftp/filezilla -u -pp --key "F5" -n 100 -z glibc`

注意：隔离模式仅在 Linux 上测试过，在 Windows 上不支持。

### 超时
`-x secs` 允许你指定超时时间。在实践中，对于 CLI 目标，这更像是“迭代之间的近似时间间隔”，而对于 GUI 则是实际的超时时间。

### 变异器
`--mutator N` 指定用于模糊测试的变异器。如果未提供该选项，则每次模糊测试迭代都会从可用变异器列表中随机选择一个。

这些变异器是从头开始编写的（当然 Radamsa 除外）。虽然它们经过了广泛的测试并在数百万次迭代中表现良好，但偶尔可能会有细微的 bug，但通常这不会影响功能。```
FLIP_MUTATOR = 1
HIGHLOW_MUTATOR = 2
INSERT_MUTATOR = 3
REMOVE_MUTATOR = 4
CARVE_MUTATOR = 5
OVERWRITE_MUTATOR = 6
RADAMSA_MUTATOR = 7

### 暂停
按Ctrl+C暂停模糊测试过程。若要继续，选择`y`或`n`停止。此功能在各平台上运行良好，但在对GUI应用进行模糊测试时可能不太可靠。

### 复用崩溃以发现变体
`-e`启用复用模式。这意味着如果在模糊测试运行中发现任何崩溃，它们将被用作第二轮模糊测试的输入，有助于发现更多bug。结合`-z`使用，产生`-ez` bug！棒极了。

以下示例对antiword进行100000次迭代的模糊测试，然后以相同的迭代次数和选项开始另一轮运行，复用崩溃作为输入，以尝试挖掘出更多的bug。

`litefuzz -l -c "antiword FUZZ" -i docs -n 100000 -ez`

（或者手动将崩溃复制到输入目录，以直接控制复用运行的迭代次数）

`litefuzz -l -c "antiword FUZZ" -i docs-crashes -n 500000 -z`

注意：此模式仅支持本地应用。

### 内存调试辅助工具
`-z`在Linux上启用Electric Fence（或回退到glib malloc调试），在Mac上启用Guard Malloc，在Windows上启用PageHeap。此外，`-zz`可用于在对应用程序启用PageHeap后将其禁用。如果只想在不启动模糊测试器的情况下开关它，只需省略`-i`标志。在Windows设置过程中，会安装[gsudo](https://github.com/gerardog/gsudo)，可用于在命令行上运行提升权限的命令，例如为目标开启PageHeap。

`sudo litefuzz -l -c "notepad FUZZ" -i texts/files -z`

`sudo litefuzz -l -c "notepad FUZZ" -zz`

在Linux上，可以选择特定的辅助工具。例如，不仅仅将glib malloc用作回退，而是直接选择它。

`litefuzz -l -c "geany FUZZ" -i texts/codes -z glibc`

默认的Electric Fence malloc调试器很不错，但它不适用于所有目标。你可以用EF测试目标，如果崩溃，则改选glibc辅助工具。

### 检查实时目标输出
如果在Linux或Mac上对本地应用进行模糊测试，可以执行`cat /tmp/litefuzz/RUN_ID/fuzz.out`来查看目标的最新标准输出。`RUN_ID`在模糊测试开始时显示在STATS信息区域。如果发生崩溃，标准输出也会作为`.out`文件捕获到崩溃目录中。全局标准输出/错误也会输出到`/tmp/litefuzz/out`用于调试目的，适用于所有模糊测试目标，但隔离模式或本地服务器模式下调试器输出会进入`/tmp/litefuzz/RUN_ID/out`。

Winappdbg本身不支持捕获目标的标准输出（据我所知），因此此功能在Windows上不可用。

### 客户端和服务器模式
如果服务器可以通过简单地执行二进制文件（带或不带某些标志和配置）在本地运行，你可以通过`-c`传递其命令行，它将会被启动、模糊测试，并在每次迭代中杀死并重新执行。这样做的目的是以速度换取避免那些只在目标内存处于“某种状态”时触发的烦人bug的能力，这些bug可能导致误报。本地模糊测试网络客户端也是如此。它甚至支持TLS连接，即时生成证书（允许用户在模糊测试需要客户端证书的服务器时提供客户端证书，以及证书模糊测试本身是其他的想法）。

在对远程客户端和服务器进行模糊测试时，Litefuzz不提供调试支持，因此远程端的设置由用户负责。对于服务器，我们仅检查服务器是否停止响应，并将前一个有效负载记为崩溃器。这对于TCP连接效果良好，但对于UDP服务我们并不具备这种便利，因此监控远程服务器要么依赖于ReportCrash功能（在Mac上可用），要么在调试器中运行目标（通过本地服务器模式或手动），要么编写自定义支持脚本。此外，有些服务器可能自动重启或以其他方式在崩溃后恢复，但日志或文件系统上的其他工件中可能存在相关迹象，可由针对特定目标编写的支持脚本解析。

### 本地网络示例

`litefuzz -lk -c "wget http://localhost:8080" -a tcp://localhost:8080 -i input/http -z`

`litefuzz -lk -c "curl -k https://localhost:8080" -a tcp://localhost:8080 -i input/http -z`

`litefuzz -lk -c "curl -k https://localhost:8080" -a tcp://localhost:8080 -i input/http -o crashes/curl --tls -n 100000 -z`

（打开Wireshark并捕获来自
d的响应，右键单击简单网络管理协议 -> 导出分组字节流 -> resp.bin）

`litefuzz -lk -c "snmpwalk -v 2c -c public localhost:1616 1.3.6.1.2.1.1.1" -a udp://localhost:1616 -i input/snmp/resp.bin -n 1 -d -x 3`

`litefuzz -ls -c "./sc_serv shoutcast.conf" -a localhost:8000 -i input/shouts -z`

`litefuzz -ls -c "snmpd" -i input/snmp -a udp://localhost:161 -z`

**快速说明**
- UDP套接字在Mac + Py2上可能表现异常，因此仅测试和支持Mac + Py3
- Windows上的本地网络客户端模糊测试可能存在bug，目前应视为实验性功能

### 远程网络示例

对远程客户端和服务器进行模糊测试更有挑战性：我们没有本地调试，依赖于捕获双方通过网络交互的中断来发现崩溃。此外，由于我们假设对方发生了什么并不知情，当客户端或服务器停止响应时模糊测试结束，需要在客户端或服务器恢复到正常（未崩溃）状态后手动重启，除非用户在远程端设置了脚本来管理这个过程。

UDP使情况更加复杂。即使发送一个测试包来检查UDP端口上是否有监听服务，也不能保证有回复。因此可以远程模糊测试网络客户端和服务器，但需要在可见性上做出权衡。

#### 客户端

`while :; do echo "user test\rpass test\rls\rbye\r" | ftp localhost 2121; sleep 1; done`

`litefuzz -k -i input/ftp/test -a tcp://localhost:2121 -pp -n 100`

客户端模式在这里更加棘手，因为很难判断客户端是实际崩溃导致无法重连，还是由于不同客户端处理连接的方式各异导致发送/接收配合出现问题。另请注意，这只是一个示例，远程客户端模糊测试本质上有难度，应视为有一定实验性的功能。

#### 服务器

本地或远程模糊测试服务器的优缺点可以帮助你在两种选项都可用时决定如何对待目标。

基本上，在调试器中对服务器进行模糊测试会更慢，但能够获得带有自动分类的崩溃日志；而在远程模式下对服务器进行模糊测试（即使指向本地主机）平均速度会快得多，但你会失去高可见性、基于调试器的分类能力，但可以让你在每次崩溃后手动重启服务器以继续运行，直到它退出（仅限TCP服务器，该功能不支持基于UDP的服务器）。

**Shoutcast**

`./sc_serv ...`

`litefuzz -s -a localhost:8000 -i input/shouts -n 10000`

**SSHesame**

`sshesame`

`litefuzz -s -a tcp://target:2022 -i input/ssh-server -p -n 1000000 -x 0.05`

**FTP**

`litefuzz -s -a tcp://target:21 -i input/ftp/req.txt -pp -n 1000`

**DNS**

`coredns -dns.port 10000`

`litefuzz -ls -c "coredns -dns.port 10000" -a udp://localhost:10000 -i dns-req/1.bin -o crashes/coredns -n 10000`

或

`litefuzz -s -a udp://localhost:10000 -i dns-req/1.bin -o crashes/coredns -n 10000`

##### TLS

`litefuzz -s -a tcp://hostname:8080 -i input/http --tls -n 10000````
...
@ 48/10000 (1 crashes, 0 duplicates, ~7:13:18 remaining)

[!] check target, sleeping for 60 seconds before attempting to continue fuzzing...

每个数据包被消费到一个数组中，随机索引被变异并重放以模糊测试目标。

`litefuzz -lk -c "ssh -T test@localhost -p 2222" -a tcp://localhost:2222 -i input/ssh -o crashes/ssh -p -n 250000 -z glibc`

并且你可以检查目标的最新迭代输出。```
cat /tmp/litefuzz/out
kex_input_kexinit: discard proposal: string is too large
ssh_dispatch_run_fatal: Connection to 127.0.0.1 port 2222: string is too large

... and others like

ssh_dispatch_run_fatal: Connection to 127.0.0.1 port 2222: unknown or unsupported key type

ssh_askpass: exec(/usr/bin/ssh-askpass): No such file or directory
Host key verification failed.

Bad packet length 1869636974.
ssh_dispatch_run_fatal: Connection to 127.0.0.1 port 2222: message authentication code incorrect

模糊测试器将每一行拆分为自己的FTP响应，以尝试模糊客户端对会话的处理。然而，不能保证客户端会“表现良好”或以允许会话正确完成的方式运行，因此在运行Wireshark时对会话测试用例进行一些试错和微调，有助于理解目标之间交互的差异。

`litefuzz -lk -c "ftp localhost 2121" -a tcp://localhost:2121 -i input/ftp -o crashes/ftp -n 100000 -pp -z`

这也可以与 *-u* 结合使用，用于隔离GUI网络目标，例如FileZilla。

`litefuzz -lk -c "filezilla" -a tcp://localhost:2121 -i input/ftp.resp -n 100000 -u -pp -z glibc`

### 附加到进程
如果目标在连接时生成新进程，可以指定在建立到服务器的连接后要附加的进程名称（或PID）。这在例如 launchd 在端口上监听，并且仅在客户端连接后才启动处理进程的情况下非常有用。这是一个某种程度上模糊了本地和远程模糊测试之间界限的功能，因为从技术上讲，模糊测试器处于远程模式，但我们指定目标地址为 localhost 并要求它附加到一个进程。

`./litefuzz.py -s -a tcp://localhost:8080 -i input/shareserv -p --attach ShareServ -x 1 -n 100000`

注意：目前此功能仅支持在Mac（LLDB）上进行网络模糊测试，但如果实现，它也应该适用于Linux（GDB）。

### 崩溃产物
当模糊测试期间遇到崩溃时，会在调试器中重放以生成调试产物和分桶信息。信息因平台而异，但通常会生成一个文本文件，包含回溯、寄存器信息、`!exploitable` 类型的内容（如果可用）以及其他基本信息。

**内存转储**可以在Windows上通过传递 `--memdump` 启用，或通过 `--nomemdump` 禁用，类似于通过 `-z` 和 `-zz` 分别控制 malloc 调试器。如果启用，转储也会加载到控制台调试器 (cdbg) 中，并且 `!analyze -v` 崩溃分析输出会捕获到额外的内存转储崩溃分析日志中。Winappdbg 已经具有我们在初始崩溃分析中获得的 !exploitable 类型分析，因此我们在此处仅进行 !analyze。

`litefuzz -l -c "C:\Program Files (x86)\Adobe\Acrobat Reader DC\Reader\AcroRd32.exe" --memdump`

或禁用应用程序的内存转储

`litefuzz -l -c "C:\Program Files (x86)\Adobe\Acrobat Reader DC\Reader\AcroRd32.exe" --nomemdump`

除了自动崩溃分类外，还会生成二进制/字符串差异（视情况而定）和目标标准输出（取决于平台/目标），当然还有复现文件。

对于本地模糊测试，产物通常包括差异、标准输出（仅限Linux/Mac）、复现文件以及崩溃日志和信息文件。```
$ ls crashes/latex
PROBABLY_EXPLOITABLE_SIGSEGV_XXXX5556XXXX_YYYYa39f3fd719e170234435a1185ee9e596c54e79092c72ef241eb7a41cYYYY.diff
PROBABLY_EXPLOITABLE_SIGSEGV_XXXX5556XXXX_YYYYa39f3fd719e170234435a1185ee9e596c54e79092c72ef241eb7a41cYYYY.diffs
PROBABLY_EXPLOITABLE_SIGSEGV_XXXX5556XXXX_YYYYa39f3fd719e170234435a1185ee9e596c54e79092c72ef241eb7a41cYYYY.out
PROBABLY_EXPLOITABLE_SIGSEGV_XXXX5556XXXX_YYYYa39f3fd719e170234435a1185ee9e596c54e79092c72ef241eb7a41cYYYY.tex
PROBABLY_EXPLOITABLE_SIGSEGV_XXXX5556XXXX_YYYYa39f3fd719e170234435a1185ee9e596c54e79092c72ef241eb7a41cYYYY.txt

对于远程模糊测试，产物可能因所选选项而异，但通常包括差异文件、复现文件和/或复现文件目录（如果输入是包含多个数据包的会话）、上一次模糊测试迭代的复现（以防丢失一个实际上是由远程模糊测试的挑战导致的崩溃触发者）以及崩溃日志或简要信息文件。```
ls crashes/serverd
REMOTE_SERVER_testbox.1_NNNN_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY
REMOTE_SERVER_testbox.1_NNNN_PREV_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY
UNKNOWN_XXXX2040YYYY_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY.diff
UNKNOWN_XXXX2040YYYY_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY.diffs
UNKNOWN_XXXX2040YYYY_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY.txt
UNKNOWN_XXXX2040YYYY_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY.zz

ls crashes/serverd/REMOTE_SERVER_localhost_NNNN_XXXX9c3f3660aaa76f70515f120298f581adfa9caa8dcaba0f25a2bc0b78YYYY
REMOTE_SERVER_testbox.1_NNNN_1.zz	REMOTE_SERVER_localhost_NNNN_2.zz
REMOTE_SERVER_testbox.1_NNNN_3.zz	REMOTE_SERVER_localhost_NNNN_4.zz

看看它的最小化版本。```
GET /admin.cgi?mode=debug&option=a
Authorization:s YWRtaW46Y2hhbmdlbWU
Referer:admin.cgi

**最小化示例**

`litefuzz -l -c "latex2rtf FUZZ" -m test.tex -z`

`litefuzz -ls -c "./sc_serv shoutcast.conf" -a "tcp://localhost:8000" -m repro.http`

**supermin示例**```
litefuzz -l -c "latex2rtf FUZZ" -mm crashes/latex2rtf/test.tex -z
...
[+] starting minimization

@ 582/582 (1 new crashes, 1145 -> 582 bytes, ~0:00:00 remaining)  

[+] reduced crash @ pc=55555556c141 -> pc=55555557c57d to 582 bytes

[+] supermin activated, continuing...

@ 299/299 (1 new crashes, 582 -> 300 bytes, ~0:00:00 remaining)

[+] reduced crash @ pc=55555557c57d to 300 bytes
...
[+] reduced crash @ pc=555555562170 to 17 bytes

@ 17/17 (2 new crashes, 17 -> 17 bytes, ~0:00:00 remaining)

[+] achieved maximum minimization @ 17 bytes (test.min.tex)

[RESULTS]
completed (17) iterations with 2 new crashes found

#### 在Ubuntu上枚举文件句柄```
$ cat /usr/share/applications/defaults.list
[Default Applications]
application/csv=libreoffice-calc.desktop
application/excel=libreoffice-calc.desktop
application/msexcel=libreoffice-calc.desktop
application/msword=libreoffice-writer.desktop
application/ogg=rhythmbox.desktop
application/oxps=org.gnome.Evince.desktop
application/postscript=org.gnome.Evince.desktop
....

**通过标准输入对 gpg 解密进行模糊测试（带堆错误检查）** (Mac)

`litefuzz -l -c "gpg --decrypt" -i test-gpg -o crashes-gpg -z`

**模糊测试 Books 应用** (Mac GUI)

`litefuzz -l -c "/System/Applications/Books.app/Contents/MacOS/Books FUZZ" -i test-epub -t "/Users/test/Library/Containers/com.apple.iBooksX/Data" -x 8 -n 100000 -z`

注：`-z` 在此启用 [Guard Malloc](https://www.manpagez.com/man/3/libgmalloc/) 堆错误检查，以检测微妙的堆损坏 bug

**Mac 注意**

某些 GUI 目标可能在每次迭代超时后无法被终止并变得无响应。为了缓解此问题，你可以在另一个终端中运行一个类似这样的脚本，定期批量杀死它们，从而减少手动操作和监控负担，否则模糊测试过程可能会受到影响。```
#!/bin/bash
ps -Af | grep -ie "$1" | awk '{print $2}' | xargs kill -9

$ navegante -url https://example.com -ph disable-headless -headless

navegante -url https://example.com -ph disable-headless -headless

$ navegante -url https://example.com -ph disable-headless -headless

*/Users/test*（路径的第一部分示例，临时文件通过该路径传递到本地 GUI 应用，执行期间 FUZZ 变为一个路径）之所以被选中，是因为你需要一个唯一字符串来终止进程；如果只使用进程名称，它会同时终止模糊测试进程，因为该进程也包含这个进程名。

**在 Windows 上枚举文件处理器**

使用 [AssocQueryString](https://github.com/sec-tools/WindowsFileHandlerEnumeration/) 脚本配合 *assoc* 命令，可以将文件扩展名映射到默认应用程序。```
C:\> .\AssocQueryString.ps1
...
.hlp :: C:\Windows\winhlp32.exe
.hta :: C:\Windows\SysWOW64\mshta.exe
.htm :: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
.html :: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
.icc :: C:\Windows\system32\colorcpl.exe
.icm :: C:\Windows\system32\colorcpl.exe
.imesx :: C:\Windows\system32\IME\SHARED\imesearch.exe
.img :: C:\Windows\Explorer.exe
.inf :: C:\Windows\system32\NOTEPAD.EXE
.ini :: C:\Windows\system32\NOTEPAD.EXE
.iso :: C:\Windows\Explorer.exe

#### 本地客户端

**对本地主机（Linux）的SNMP客户端进行模糊测试**

`litefuzz -lk -c "snmpwalk -v 2c -c public localhost:1616 1.3.6.1.2.1.1.1" -a udp://localhost:1616 -i input/snmp/resp.bin -n 1 -d -x 3`

#### 远程客户端

**对远程FTP客户端（Linux）进行模糊测试**

`while :; do echo "user test\rpass test\rls\rbye\r" | ftp localhost 2121; sleep 1; done`

`litefuzz -k -i input/ftp/test -a tcp://localhost:2121 -n 100`

注意：根据目标的不同，客户端模糊测试可能需要监听特权端口（1-1024）。在这种情况下，在Linux上你可以对Python解释器使用 `setcap cap_net_bind_service=+ep`，或者在运行模糊器时使用sudo；在Mac上只需使用sudo；在Windows上你可以以管理员身份运行模糊器，以避免出现权限被拒绝的错误。

### 服务端

#### 快速预览```
litefuzz -ls -c "./sc_serv shoutcast.conf" -a tcp://localhost:8000 -i input/shoutcast -o crashes/shoutcast -n 1000 -z
--========================--
--======| litefuzz |======--
--========================--

[STATS]
run id:     4001
cmdline:    ./sc_serv shoutcast.conf
address:    tcp://localhost:8000
crash dir:  crashes/shoutcast
input dir:  input/shoutcast
inputs:     3
iterations: 1000
mutator:    random(mutators)

@ 1000/1000 (1 crashes, 7 duplicates, ~0:00:00 remaining)

[RESULTS]
> completed (1000) iterations with (1) unique crashes and 7 dups
>> check crashes/shoutcast for more details

# trophies

Litefuzz 已在多种软件包中触发崩溃，例如：

* antiword
* AppleScript (OS X)
* ArangoDB VelocyPack
* Avast authenticode-parser
* Avast RetDec
* BBC Audio Waveform
* ColorSync (OS X)
* Dynamsoft BarcodeReader
* eot2ttf
* evernote2md
* faad2
* Facebook's Origami Studio
* FontForge
* ForestDB
* Gifsicle
* GPUJPEG
* GPAC Multimedia Framework
* Google Draco
* Google Quipper
* GoPro GPR
* GtkRadiant
* IIPImage Server
* John The Ripper
* Kyoto Cabinet
* latex2rtf
* libMeshb
* libembroidery
* libsndfile
* Lion Vector Graphics (lvg)
* L-SMASH
* mp3-decoder
* MindNode
* minimp4
* MiniWeb Server
* MLpack
* Nvidia Data Center GPU Manager
* Numbers (OS X)
* OpenJPEG
* OpenOrienteering Mapper
* OSM Express
* Pages (OS X)
* PBRT-Parser
* Pixar USD
* Remote Apple Events (OS X)
* Samsung rlottie
* Samsung ThorVG
* Shoutcast Server
* Silo
* syslog (OS X)
* Tencent NCNN
* TinyXML2
* UEFITool
* Ulfius Web Framework
* zlib

# 常见问题

## 这个项目是怎么来的？
模糊测试很有趣！做一个持逆向观点的项目也很不错，即模糊器不必总是遵循现代或流行的方法来达到发现漏洞的最终目标。无论你是接近裸机、获取所有路径的代码覆盖率，还是仅仅优化快速和灵活的方式，亦或是基本的“否定假设”方法等等，只要能享受其中就好。

## 这个项目是否积极维护？
请不要期待该项目会得到积极的支持或维护。欢迎 fork 项目以添加新功能或修复 bug 等。对于较小的改动，或许可以提交 PR，但请对回复或故障排除不要抱有任何期望。这个仓库并不打算进行积极开发。

## 如何知道模糊器工作良好？你是否与其他工具进行过对比？
Litefuzz 的目标是在各平台上发现漏洞，它也做到了。所以，老实说，与 fuzzerX 或 fuzzerY 进行对比的能力一开始就没有被列为优先事项。在项目启动时就做出并承认了一些权衡，更多细节请参阅 [#intro](https://github.com/sec-tools/litefuzz/blob/main/README.md#intro)。

## 如果今天重写，你会改变什么？
它目前运行得相当好，并在大量不同目标和场景下进行了测试。话虽如此，标准化一个更基于模块化和插件的系统会有所裨益，这样在切换目标和平台时，无需在代码的操作侧进行那么多额外的检查等。当然，拥有更正式的测试和一个能在支持的操作系统上进行测试的部署系统，会创建一个在更改核心功能时更容易跨平台工作的环境。它从一个虽小但雄心勃勃的项目很快发展成了稍大的项目。

## Litefuzz 有多稳定？
命令行、GUI、网络模糊测试（主要在 Linux 和 Mac 上）、最小化等功能已经过相当彻底的测试，总体应该非常稳定。一些更特殊的功能，如隔离网络 GUI 模糊测试、Mac 的 ReportCrash 支持以及其他一些特色功能，应视为实验性功能。

## Litefuzz 是否有不支持的使用场景？
有的，但少数情况。大多数要么是不常见但有 bug 的场景，要么需要更多时间和研究才能“正确实现”，要么只是因为平台原因无法正常工作。当你尝试使用这些选项运行时，许多都会明确输出“不支持”的消息，并且上面的章节在描述各种功能时也提到了一些注意事项。一些更细微的情况包括：**隔离**应用的复现模式不支持；Mac 应用使用隔离功能的测试有限；Pyautogui 在 Linux 和 Windows 上似乎运行良好，但在 Mac 上不太可靠，因此应视为功能上不支持；Windows 上的客户端模糊测试可能比其他平台上的其他模式稍微不可靠一些。

可能还有一些边缘情况，但最常见的本地和网络模糊测试场景已经过测试并且正常工作。啊，这就是编写跨平台工具的乐趣：回报丰厚，但让所有功能一直完美运行很难。总的来说，在 Linux/Mac 上进行模糊测试似乎更稳定，支持的功能也更多，尤其是在网络模糊测试方面比 Windows 平台测试得多得多，但至少基础功能在 Win32 上可用，外加一些额外功能。

欢迎 fork 这个模糊器并进行这些改进，支持当前不支持的功能等，或者提交一些较小但有用的 PR。

## 该项目或其代码提供了哪些保证？
完全没有。但用它模糊并看着它给你带来漏洞，真是很有趣。

## 作者 / 参考资料
- [Jeremy Brown](https://github.com/sec-tools/litefuzz/blob/main/jbrown3264%5BNOSPAM%5Dgmail)
- [macOS Fuzzing 幻灯片](https://www.slideshare.net/JeremyBrown37/summer-of-fuzz-macos)