WuppieFuzz: Coverage-Guided, Stateful REST API Fuzzing

1. 문제 정의 (Problem)

현대 소프트웨어 아키텍처에서 REST API 는 마이크로서비스 간 통신 및 외부 시스템과의 상호작용을 위한 핵심 수단으로 널리 사용됩니다. 그러나 이러한 API 엔드포인트가 외부에 노출됨에 따라 새로운 공격 표면 (Attack Surface) 이 생성되어 보안 위험이 증가합니다.

기존의 REST API 테스트 및 취약점 탐지 방식에는 다음과 같은 한계가 존재합니다:

• 수동 테스트의 비효율성: 방대한 수의 엔드포인트와 복잡한 상호작용을 수동으로 테스트하는 것은 거의 불가능합니다.
• 기존 Fuzzer 의 부족: 바이너리 (Binary) 대상 Fuzzing 은 성숙했으나, REST API 와 같은 웹 애플리케이션에 특화된 효율적이고 사용하기 쉬운 Fuzzer 는 부족했습니다.
• Stateful(상태 의존적) 문제: REST API 는 특정 상태에 도달하기 위해 입력 메시지의 순서 (Sequence) 가 중요하며, 파라미터 간의 관계가 복잡합니다. 단순한 무작위 입력 생성만으로는 깊은 상태 (Deep State) 를 탐색하거나 버그를 발견하기 어렵습니다.
• 하네스 (Harness) 구축의 어려움: Fuzzing 을 수행하기 위한 테스트 환경 (하네스) 을 수동으로 구축하는 과정이 번거롭고 시간이 많이 소요됩니다.

2. 방법론 (Methodology)

저자들은 WuppieFuzz라는 오픈소스 REST API Fuzzer 를 제안했습니다. 이는 LibAFL 프레임워크를 기반으로 구축되었으며, 화이트박스, 그레이박스, 블랙박스 Fuzzing 을 모두 지원합니다.

핵심 아키텍처 및 구성 요소

1. OpenAPI 명세 기반 시드 생성 (Seed Corpus Generation):

   • 수동 입력 생성의 어려움을 해결하기 위해 OpenAPI 명세를 자동으로 분석합니다.
   • 엔드포인트 간의 자원 (Resource) 의존성을 그래프로 모델링하여, CRUD(생성, 읽기, 업데이트, 삭제) 순서에 따라 논리적인 요청 시퀀스 (Request Sequence) 를 자동 생성합니다.
   • 예: POST /store로 생성된 id 를 GET /store/{id}의 파라미터로 자동 연결합니다.

2. 자동화된 하네스 (Automated Harness):

   • HTTP 클라이언트와 응답 검증기 (Response Checker) 를 자동으로 구성하여 SUT(테스트 대상 소프트웨어) 와의 통신을 관리합니다.
   • OpenAPI 명세를 기반으로 응답이 예상과 일치하는지 검증합니다.

3. 커버리지 기반 스케줄링 (Coverage-Guided Scheduling):

   • 코드 커버리지 (Line Coverage): Java, Python, JavaScript 등 지원 언어의 소스 코드에 인스트루멘테이션 (Instrumentation) 을 적용하여 코드 실행 경로를 추적합니다.
   • 엔드포인트 커버리지: 경로, HTTP 메서드, 상태 코드의 조합을 기반으로 커버리지를 측정합니다.
   • 스케줄러: LibAFL 의 FAST 및 기타 스케줄러 알고리즘을 사용하여, 새로운 코드 경로를 탐색하거나 흥미로운 입력 (Interesting Input) 을 생성하는 시퀀스를 우선적으로 선택합니다.

4. 변형기 (Mutators):

   • LibAFL 제공 변형기: 요청 파라미터의 비트 플립 (Bit flipping) 등 저수준 변형을 수행합니다.
   • 커스텀 HTTP 변형기: 요청 시퀀스의 구조를 변경하거나, 파라미터 간 관계를 끊는 (Break-Link) 등 API 특유의 고수준 변형을 수행합니다.

5. 보고 및 분석 도구:

   • 생성된 API 의존성 그래프, 초기 시드 코퍼스, 엔드포인트 커버리지, 코드 커버리지 등을 시각화합니다.
   • SQLite 데이터베이스와 Grafana 대시보드를 통해 실시간으로 테스트 진행 상황과 발견된 버그를 분석할 수 있게 지원합니다.

3. 주요 기여 (Key Contributions)

• LibAFL 기반 최초의 REST API Fuzzer: 기존 바이너리 Fuzzing 프레임워크인 LibAFL 을 REST API 컨텍스트에 처음 적용하여 모듈성, 확장성, 재사용성을 확보했습니다.
• 자동화된 하네스 및 시드 생성: OpenAPI 명세만 있으면 복잡한 API 의존성 그래프를 자동으로 생성하고, 이를 바탕으로 유효한 초기 입력 시퀀스를 만들어 수동 작업을 최소화했습니다.
• 다양한 Fuzzing 모드 지원: 소스 코드 접근 여부 (화이트/그레이/블랙박스) 에 따라 유연하게 대응할 수 있는 아키텍처를 제공합니다.
• 새로운 평가 지표 제안: 기존 엔드포인트 커버리지뿐만 아니라, 각 엔드포인트에서 반환된 **응답 커버리지 (Response Coverage)**를 측정하여 더 세밀한 Fuzzer 성능 비교를 가능하게 했습니다.
• 오픈소스 공개: Apache License 2.0 하에 GitHub 에서 공개하여 커뮤니티의 기여와 발전을 장려했습니다.

4. 실험 결과 (Results)

저자들은 Petstore API를 대상으로 WuppieFuzz 를 평가했습니다.

• 스케줄러 비교:
  • 블랙박스 모드에서는 모든 스케줄러가 유사한 엔드포인트 커버리지를 보였으나, Coe 스케줄러가 상대적으로 적은 요청 수로 높은 커버리지를 달성했습니다.
  • 화이트박스 모드에서는 Quad 스케줄러가 가장 높은 커버리지 (20/58) 를 달성하며 탐색 (Exploration) 과 활용 (Exploitation) 의 균형을 잘 보여주었습니다.
• 화이트박스 vs 블랙박스:
  • 화이트박스 방식은 초기 10 초 내에 더 빠르게 엔드포인트를 발견하고 커버리지가 안정화되는 경향을 보였습니다.
  • 최종 도달 가능한 엔드포인트 커버리지 수치는 두 방식 모두 동일했으나, 화이트박스가 발견 속도를 높여주었습니다.
• 코드 커버리지:
  • 화이트박스 모드에서 초기 실행 시 이미 약 25% 의 코드 커버리지를 달성했으며, 이는 시드 생성기가 유효한 입력을 잘 생성했음을 의미합니다.
  • 실험 초기 몇 분 내에 커버리지가 27% 까지 상승한 후 안정화되었으며, 이후 추가적인 흥미로운 요청을 찾기 어려워지는 한계도 확인되었습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실용성: REST API Fuzzing 에 필요한 막대한 수동 작업 (하네스 구축, 시드 생성) 을 자동화하여 개발자와 보안 전문가가 쉽게 취약점을 탐지할 수 있게 했습니다.
• 보안 강화: 자동화된 Fuzzing 을 통해 API 의 복잡한 상태 의존적 버그와 보안 취약점을 조기에 발견하여 프로덕션 환경 배포 전 패치할 수 있는 기회를 제공합니다.
• 연구 방향 제시: 바이너리 Fuzzing 의 성숙한 기술 (LibAFL) 을 웹 API 영역으로 확장하는 성공적인 사례를 보여주었으며, 향후 더 정교한 상태 관리 및 파라미터 최소화 기법 등을 통해 발전할 가능성을 제시했습니다.

결론적으로 WuppieFuzz 는 REST API 의 보안 테스트를 자동화하고 효율성을 극대화하기 위한 강력한 도구로, 오픈소스 생태계를 통해 지속적인 발전이 기대됩니다.