Об особенностях фаззинг-тестирования сетевых интерфейсов в условиях отсутствия исходных текстов

Ivan Vladimirovich Sharkov,Vartan Andronikovich Padaryan,Petr Vladimirovich Khenkin

doi:10.15514/ispras-2021-33(4)-15

Ivan Vladimirovich Sharkov, Vartan Andronikovich Padaryan + Show 1 more

Open Access

https://doi.org/10.15514/ispras-2021-33(4)-15

Copy DOI

Abstract

The digital transformation of society is leading to the creation of a large number of distributed automated information systems in various areas of modern life. The need to meet security and reliability requirements prompts the creation of tools for their automated testing. Fuzzing within the security development lifecycle (SDL) is a strictly required tool for solving this problem. Tools for fuzzing binary-only applications are in demand too. These kind of fuzzing tools provide the search for critical defects in already functioning systems. It is especially acute when researching the security of proprietary systems operating using closed protocols. In the course of the research, it was found out that for fuzzing network applications in the absence of source codes, the use of universal fuzzers is complicated by many factors. These circumstances are pushing for the creation of an easy-to-use tool for network applications fuzzing. The paper discusses the features of fuzzing of this kind of programs and suggests possible solutions to the identified tasks.

Highlights

Задача восстановления сетевого протокола разделяется на две дополняющие друг друга подзадачи: восстановление форматов сетевых сообщений и восстановление протокольного автомата
Активная цифровизация общества сопряжена с созданием большого количества распределенных автоматизированных систем в различных сферах жизни
His research interests include information security, source codes analyses, authentication, authorization and identification methods, and biometry

Summary

Введение

В условиях стремительной цифровизации общества крайне востребованы инструментальные средства анализа кода программного обеспечения (ПО) на наличие дефектов. В состав современных инструментальных средств входят средства динамического анализа (тестирования), где для обеспечения безопасности наиболее популярным видом тестирования является фаззинг. Об особенностях фаззинг-тестирования сетевых интерфейсов в условиях отсутствия исходных текстов. 211-226 в эксплуатации инструменты фаззинг-тестирования, функционирование которых основано на типовых приемах, что затрудняет реализацию оригинальных и нестандартных методик фаззинг-тестирования. Осуществляемый в рамах цикла безопасной разработки, предназначен для решения задач выявления дефектов до начала эксплуатации программного средства, т. Данное обстоятельство является двигателем развития средств автоматизированного тестирования бинарного кода в условиях наличия минимума информации и отсутствия исходных текстов. Основная задача данного исследования заключается в систематизации проблем, возникающих при фаззинге в условиях отсутствия исходных текстов, и определении возможности создания гибкого, легковесного и «недорогого» в использовании программного средства, или фреймворка для автоматизированного тестирования сетевых серверных и клиентских программ, доступ к исходным текстам которых невозможен

Постановка задачи и способы решения

Анализ спецификации сетевого протокола

Оценка результатов фаззинга и контроль состояния целевой программы

Подготовка начальной последовательности и модификация входных данных

Практические результаты предложенного подхода

Заключение