💻 computer science

APFuzz: Towards Automatic Greybox Protocol Fuzzing

تقدم هذه الورقة APFuzz، وهو فاحص بروتوكولات آلي من نوع (greybox) يعمل على تعزيز فعالية الاختبار من خلال توظيف التحليل الساكن والديناميكي لاستنتاج نماذج حالة دقيقة، والاستفادة من النماذج اللغوية الكبيرة لإجراء طفرات للرسائل على مستوى الحقول وبنية مدركة.

المؤلفون الأصليون: Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

نُشر 2026-02-26

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تحاول العثور على كنز مخفي داخل قلعة ضخمة ومغلقة (البرنامج الحاسوبي). تحتوي القلعة على غرف عديدة (حالات/States)، والأبواب لا تفتح إلا إذا طرقت بإيقاع محدد للغاية أو قلت كلمة سر سرية (رسائل البروتوكول).

معظم مختبري الأمن (أدوات الفحص/Fuzzers) يشبهون أشخاصاً يلقون آلاف الحصوات العشوائية على جدران القلعة، آملين أن تصيب إحداها نقطة ضعف. هذا الأسلوب قد ينجح مع الأكواخ البسيطة، ولكن مع القلاع المعقدة ذات الأبواب المغلقة، يكون الأمر غير فعال. قد تلقي حصاة على الباب الخطأ، أو تطرق الإيقاع الخاطئ، فيتجاهلك الحارس (الخادم/Server) ببساطة.

APFuzz هو صياد كنوز جديد فائق الذكاء، صُمم لحل هذه المشكلة. فهو يجمع بين قوتين خارقتين للعثور على الثغرات (الكنز) بشكل أسرع وأعمق من أي شخص آخر.

إليك كيف يعمل، مقسماً إلى مفاهيم بسيطة:

1. المشكلة: ارتباك "الصندوق الأسود"

المختبرون التقليديون لا يعرفون كيف تعمل القلعة. هم لا يعرفون:

الحالة (The State): لا يعرفون ما إذا كان الحارس حالياً "نائماً"، أو "مستيقظاً"، أو "غاضباً". إذا حاولت فتح باب بينما الحارس نائم، فلن يحدث شيء. يجب أن توقظه أولاً بتسلسل معين من الطرقات.
الرسالة (The Message): لا يعرفون الشكل الدقيق للمفتاح. إذا حاولوا حشر وتد مربع في ثقب مستدري، سيرفضه الحارس فوراً.

2. القوة الخارقة الأولى: "قراءة الأفكار" (تعلم تمثيل الحالة)

للعثور على الكنز، تحتاج لمعرفة الغرفة التي أنت فيها.

الطريقة القديمة: كان على المختبرين سؤال خبير بشري: "مهلاً، كيف أعرف إذا كان الحارس مستيقظاً؟". كان الخبير يكتب دليلاً يدوياً، لكن البشر يرتكبون الأخطاء، وكتابة هذه الأدلة عملية بطيئة ومملة.
طريقة APFuzz: APFuzz يشبه المحقق الذي يقرأ مخططات القلعة (الكود المصدري/Source Code) ويراقب حركة الحراس أيضاً.
- الخطوة 1 (التحليل الساكن/Static Analysis): يقوم بمسح المخططات للعثور على المتغيرات التي قد تكون "مفاتيح تغيير الحالة" (مثل متغير باسم is_logged_in).
- الخطوة 2 (التحليل الديناميكي/Dynamic Analysis): يراقب حركة الحراس. إذا تغيرت قيمة متغير ما بشكل متكرر وبدا أنه يتحكم في الأبواب، فإنه يحتفظ به. أما إذا كان مجرد عداد عشوائي لا يهم، فإنه يتخلص منه.
- النتيجة: يبني APFuzz خريطة مثالية لغرف القلعة تلقائياً دون الحاجة لبشر لرسمها. إنه يعرف تماماً متى يكون الحارس "مستيقظاً" ومستعداً لتحدٍ جديد.

3. القوة الخارقة الثانية: "المترجم" (تعلم هيكل المدخلات باستخدام نماذج اللغة الكبيرة LLMs)

بمجرد معرفة الغرفة، تحتاج للمفتاح الصحيح.

الطريقة القديمة: كان المختبرون يخمنون شكل المفتاح. كانوا يقطعون أجزاء منه أو يغيرون ألوانه عشوائياً. بالنسبة للقلاع النصية (مثل HTTP)، كان هذا جيداً. ولكن بالنسبة للقلاع الثنائية (Binary) (مثل 5G أو البيانات المشفرة)، تكون المفاتيح عبارة عن كتل معقدة من الكود. تغييرها عشوائياً يؤدي غالباً لكسر المفتاح، ويرفضه الحارس فوراً.
طريقة APFuzz: يستخدم APFuzz نموذج لغة كبير (LLM) — تخيله كذكاء اصطناعي قرأ كل الكتيبات المكتوبة عن هذه القلاع.
- تعرض للذكاء الاصطناٍ نموذجاً لمفتاح (رسالة بذرة/Seed message).
- يقول الذكاء الاصطناعي: "آه، فهمت! هذا الجزء هو 'الرأس/Header'، وهذا الجزء هو 'الطول/Length'، وهذا الجزء هو 'الرمز السري/Secret Code'".
- الآن، بدلاً من تحطيم المفتاح عشوائياً، يعرف APFuzz تماماً أي جزء يجب تعديله. يمكنه تغيير "الرمز السري" دون كسر "الرأس".
- التشبيه: تخيل قفلاً به 10 أقراص دوران. المختبرون القدامى يديرون الـ 10 أقراص عشوائياً. أما APFuzz فيسأل الذكاء الاصطناعي: "أي قرص يتحكم في القفل؟" ثم يدير ذلك القرر فقط. هذا يوفر الوقت ويجعلك تصل للغرف العميقة بشكل أسرع.

4. النتيجة: العثور على الكنز بشكل أسرع

اختبر الباحثون APFuzz مقابل أفضل صائدي الكنوز الحاليين (مثل AFLNET) باستخدام مجموعة قياسية من 13 "قلعة" مختلفة (بروتوكولات شبكة مثل SSH و DNS و FTP).

التغطية (Coverage): استكشف APFuzz 10% غرفاً أكثر من النموذج المرجعي. لم يكتفِ بالطرق على الباب الأمامي؛ بل وجد الممرات السرية في القبو.
السرعة: كان أسرع بـ 5 إلى 6 مرات في إرسال الرسائل وفحص الغرف.
الأخطاء المكتشفة (Bugs Found): وجد أكبر عدد من "الكنوز" (الانهيارات والثغرات الأمنية). على سبيل المثال، في اختبار واحد (TinyDTLS)، وجد 5 ثغرات فريدة بينما وجد الآخرون 4 أو أقل. وفي اختبار آخر (Dnsmasq)، وجد خطأً حرجاً في 4,000 ثانية، بينما استغرق الآخرون أكثر من 24 ساعة أو فشلوا في إيجاده تماماً.

الملخص

APFuzz هو ترقية من شخص معصوب العينين يرمي السهام إلى شيرلوك هولمز يمتلك خريطة عالية التقنية ومترجماً.

يتعلم تلقائياً قواعد اللعبة (الحالة) عبر قراءة الكود ومراقبة تشغيل البرنامج.
يفهم لغة الرسائل (الهيكل) باستخدام الذكاء الاصطناعي، حتى لا يضيع وقته في إرسال مفاتيح مكسورة.
لأنه أكثر ذكاءً، فإنه يجد الثغرات المخفية والخطيرة في بنيتنا التحتية الرقمية بشكل أسرع وأكثر موثوقية من ذي قبل.

هذا أمر بالغ الأهمية لأن هذا يعني أن أنظمتنا الرقمية (مثل شبكات 5G، والخدمات المصرفية، والإنترنت) يمكن اختبارها بشكل أكثر شمولية وتلقائية، مما يحافظ على سلامتنا بشكل أكبر.

إليك ملخص تقني مفصل لورقة البحث "APFuzz: نحو فحص البروتوكولات الآلي بالصندوق الرمادي" (APFuzz: Towards Automatic Greybox Protocol Fuzzing).

1. بيان المشكلة

يهدف فحص البروتوكولات بالصندوق الرمادي (Greybox protocol fuzzing) إلى كشف الثغرات الأمنية في تنفيذات بروتوكولات الشبكة ذات الحالة (stateful) من خلال توليد مدخلات بناءً على تغطية الكود وتغطية الحالة. ومع ذلك، تواجه الأدوات الحالية قيودين حرجين:

تحديات تمثيل الحالة: يصعب تحديد حالات البروتوكول بدقة. تعتمد الأدوات الحالية على التكوين اليدوي (مثل استخراج أكواد حالة HTTP) أو التحليل الساكن القائم على الاستدلال (مثل البحث عن المتغيرات المعددة - enumerated variables)، مما يؤدي غالبًا إلى نتائج إيجابية أو سلبية خاطئة ويتطلب تدخلًا بشريًا كبيرًا.
الوعي ببنية المدخلات: تستخدم أدوات الفحص التقليدية طفرات (mutations) على مستوى البايت أو مستوى الرسالة. وبينما تكون هذه الطفرات العشوائية فعالة للبروتوكولات النصية، إلا أنها غالبًا ما تكسر البنية الصارمة للبروتوكولات الثنائية (binary protocols)، مما يتسبب في رفض الخادم للمدخلات مبكرًا. ورغم استخدام النماذج اللغوية الكبيرة (LLMs) لفهم قواعد البروتوكولات النصية، إلا أنه لم يتم تطبيقها بفعالية على مستوى بنية الحقول (field-level structure) للبروتوكولات الثنائية.

2. المنهجية: APFuzz

يقترح المؤلفون APFuzz، وهو فاحص (fuzzer) يعتمد على التغطية بالصندوق الرمادي، يعزز "الذكاء" من خلال وحدتي تعلم آليتين مبتكرين: تعلم تمثيل الحالة وتعلم بنية المدخلات.

أ. إطار عمل النظام

يعمل APFuzz في حلقة فحص قياسية ولكنه يدمج مرحلتين من المعالجة المسبقة والتعلم أثناء التشغيل:

تعلم تمثيل الحالة: يحدد متغيرات الحالة في الكود المصدري تلقائيًا لاستنتاج نموذج حالة دقيق.
تعلم بنية المدخلات: يستخدم نموذج لغوي كبير (LLM) لتحليل رسائل البذور (seed messages) الأولية واستخلاص قواعد مستوى الحقل للبروتوكولات الثنائية.

ب. المكونات التقنية الرئيسية

1. التعلم الآلي لتمثيل الحالة (نهج ذو مرحلتين)
لاستنتاج نموذج الحالة دون ترميز يدوي، يستخدم APFuzz عملية من مرحلتين لتحديد متغيرات الحالة:

المرحلة الأولى: التحليل الساكن: يقوم النظام بمسح الكود المصدري لتحديد متغيرات الحالة المرشحة. وهو يجمع بين الاستدلالات من الأدوات الحالية (NSFuzz وSGFuzz)، بحثًا عن:
- متغيرات صحيحة عالمية (global integers) أو أعضاء هيكليين (struct members) يتم تحميلها/تخزينها داخل حلقات أحداث الشبكة.
- الأنواع المعددة (enumerated types) أو المتغيرات التي تُسند إليها قيم ثابتة (مثل INIT أو READY).
- المتغيرات التي تُسند إليها قيم معددة أو ثوابت مسماة.
المرحلة الثانية: التحليل الديناميكي: لتصفية النتائج الإيجابية الخاطئة (الضجيج)، يقوم النظام بتجهيز الكود باستخدام LLVM وتشغيل تحليل ديناميكي خفيف الوزن. ويطبق قواعد التصفية التالية:
- يجب أن يكون للمتغير عدد قيم فريدة يتراوح بين حد أدنى ($min $) وحد أقصى ($ max$) (مثلاً 3-9 قيم).
- يجب أن يتجاوز عدد مرات ظهور (hit count) قيم معينة عتبة محددة.
- تُعطى الأولوية للمتغيرات التي تحتوي أسماؤها على كلمة "state".
النتيجة: ينتج عن ذلك مجموعة دقيقة من متغيرات الحالة المستخدمة لتتبع تسلسلات الحالة أثناء الفحص وتحديث نموذج آلة الحالة.

2. تعلم بنية المدخلات عبر النموذج اللغوي الكبير (LLM)
للتعامل مع البروتوكولات الثنائية، يستفيد APFFuzz من نموذج لغوي كبير لفهم هياكل الرسائل:

تفسير البذرة (Seed Interpretation): يتم تحويل رسائل البذور الأولية (الثنائية) إلى سلاسل نصية ثنائية وتغذيتها للنموذج اللغوي.
هندسة الأوامر (Prompt Engineering): باستخدام التعلم في السياق (in-context few-shot learning)، يتم توجيه النموذج اللغوي لتحديد اسم الحقل (field name)، موقع بدء البت (bit start position)، وطول البت (bit length) لكل جزء من الرسالة.
الطفرات القائمة على الحقول: على عكس الطفرات على مستوى البايت، يستخدم APFuzz البنية المستمدة من النموذج اللغوي لإجراء طفرات على مستوى الحقل.
- يختار الفاحص نطاق حقل محدد $[start, start+length]$.
- يطبق طفرات حتمية أو قائمة على المكدس (مثل قلب البتات، التبديل، أو الكتابة فوق القيم بقيم من قاموس) داخل ذلك الحقل تحديدًا.
- يحدد معامل الاحتمالية ( $\epsilon$ ) ما إذا كان سيستخدم الطفرات القائمة على الحقول أو الطفرات العشوائية الكلاسيكية.

3. المساهمات الرئيسية

التمثيل الآلي للحالة: منهجية مبتكرة من مرحلتين (ساكنة + ديناميكية) لتحديد متغيرات الحالة تلقائيًا في الكود المصدري، مما يلغي الحاجة إلى الترميز اليدوي أو سكربتات استخراج أكواد الاستجابة.
فحص البروتوكولات الثنائية المدفوع بالنماذج اللغوية الكبيرة: أول نهج يوسع تعلم القواعد القائم على LLM ليشمل البروتوكولات الثنائية، مما يتيح طفرات على مستوى الحقل تراعي دلالات البروتوكول (semantics).
تقييم شامل: تقييم صارم مقابل معيار ProFuzzBench، ومقارنة APFuzz مع الخط المرجعي (AFLNET) والأدوات الحديثة (StateAFL, NSFuzz, ChatAFL, HNPFuzzer).

4. النتائج التجريبية

أُجري التقييم على 13 خادم شبكة (7 نصية و6 ثنائية) عبر عمليات تشغيل استمرت 24 ساعة.

تغطية الكود: حقق APFuzz أعلى متوسط تحسن في التغطية بين جميع الأدوات.
- تغطية الفروع (Branch Coverage): تحسن بنسبة +10.03% عن الخط المرجعي AFLNET.
- تغطية الأسطر (Line Coverage): تحسن بنسبة +8.42% عن AFLNET.
الإنتاجية (الكفاءة):
- أظهر APFuzz كفاءة عالية، حيث حقق إنتاجية تنفيذ أعلى بمقدار 5.19 ضعفًا وإنتاجية إرسال رسائل أعلى بمقدار 6.20 ضعفًا مقارنة بـ AFLNET.
- تفوق على أدوات متخصصة مثل HNPFuzzer في إنتاجية الرسائل للعديد من الأهداف.
اكتشاف الثغرات:
- اكتشف APFuzz أكبر عدد من الانهيارات الفريدة (13) عبر جميع الأهداف، متفوقًا على NSFuzz (12) وStateAFL (12).
- الوقت اللازم للاستغلال (Time-to-Exploit): وجد APFuzz أخطاء حرجة بشكل أسرع بكثير. على سبيل المثال، اكتشف خطأ تجاوز سعة المخزن المؤقت (heap-buffer-overflow) في Dnsmasq في حوالي 4,200 ثانية، بينما استغرقت الأدوات الأخرى أكثر من 24 ساعة أو فشلت في إيجاده.
استنتاج نموذج الحالة: استنتج APFuzz نماذج حالة أكثر دقة واختصارًا (عدد أقل من الرؤوس/الحواف) مقارنة بالأدوات التي تعتمد على أكواد الاستجابة أو هاشات الذاكرة (memory hashes)، مما أدى إلى استكشاف أكثر كفاءة لمساحة الحالة.

5. الأهمية والقيود

الأهمية:

الأتمتة: يقلل APFuzz بشكل كبير من الجهد البشري المطلوب لإعداد فاحصي البروتوكولات من خلال أتمتة كل من تحديد متغيرات الحالة وتحليل بنية الرسائل.
دعم البروتوكولات الثنائية: يسد فجوة حرجة في أبحاث الفحص من خلال تطبيق النماذج اللغوية الكبيرة على البروتوكولات الثنائية، المنتشرة في الأنظمة الحديثة (مثل 5G/6G، وIoT) والتي يصعب فحصها بسبب تنسيقها الصارم.
الأداء: يثبت أن الفحص "الأكثر ذكاءً" (المدرك للبنية والحالة) لا يأتي على حساب السرعة؛ فـ APFuzz أكثر فعالية وكفاءة من الأدوات الحالية المتطورة.

القيود والعمل المستقبلي:

التعامل مع التبعيات: تعاني النسخة الحالية من التعامل مع التبعيات المعقدة بين الحقول في البروتوكولات الثنائية (مثل حقل الطول الذي يعتمد على قيمة حقل سابق).
تصفية الضجيج: تعتمد تصفية التحليل الديناميكي على العد البسيط؛ ويمكن لتقنيات الهندسة العكسية المتقدمة أن تحسن دقة اختيار متغيرات الحالة بشكل أكبر.
دقة النموذج اللغوي الكبير: رغم أن تحليل النموذج اللغوي دقيق عمومًا، إلا أن أخطاء تحديد الحقول قد تحدث، وإن كان النظام يتراجع تدريجيًا نحو الطفرات العشوائية في حال فشل التحليل.

في الختام، يمثل APFuzz خطوة مهمة نحو الاختبار الآلي، حيث يثبت أن الجمع بين التحليل الساكن/الديناميكي والنماذج اللغوية الكبيرة يمكن أن يعالج بفعالية تعقيدات بروتوكولات الشبكة الحديثة ذات الحالة.