APFuzz: Towards Automatic Greybox Protocol Fuzzing

Título: APFuzz: Rumo ao Fuzzing Automático de Protocolos Cinza (Greybox)

1. O Problema

O fuzzing de protocolos de rede é uma técnica crucial para descobrir vulnerabilidades em implementações de software. No entanto, o fuzzing de protocolos com estado (stateful) apresenta desafios significativos em comparação com programas sem estado:

• Representação de Estado: Identificar automaticamente os estados de um protocolo durante o teste é difícil. Ferramentas existentes (como AFLNET) dependem de códigos de status em respostas (que nem sempre existem ou são precisos) ou exigem intervenção manual para definir variáveis de estado, o que é propenso a erros e não escala bem.
• Consciência da Estrutura de Entrada: A maioria dos fuzzers cinza (greybox) utiliza mutações aleatórias a nível de bytes ou mensagens. Em protocolos binários, essas mutações aleatórias frequentemente quebram a estrutura do protocolo, fazendo com que o servidor rejeite a mensagem precocemente. Isso impede a exploração de espaços de estado profundos onde bugs complexos residem.
• Limitação de Ferramentas Atuais: Soluções recentes que usam Modelos de Linguagem (LLMs) para entender a estrutura de mensagens (como o ChatAFL) funcionam apenas para protocolos baseados em texto, não suportando protocolos binários amplamente utilizados (como SSH, TLS, DNS).

2. Metodologia (APFuzz)

O APFuzz é uma ferramenta de fuzzing cinza baseada em cobertura que introduz duas inovações principais para aumentar a "inteligência" do processo:

A. Aprendizado de Representação de Estado (State Representation Learning)
O APFuzz automatiza a identificação de variáveis de estado no código-fonte do servidor alvo através de um processo de duas etapas:

1. Análise Estática: Identifica variáveis candidatas potenciais. Utiliza heurísticas baseadas em trabalhos anteriores (NSFuzz e SGFuzz), focando em variáveis globais, membros de estruturas ou tipos enumerados que são lidos/escritos dentro de loops de eventos de rede. O objetivo aqui é minimizar falsos negativos (não perder variáveis reais).
2. Análise Dinâmica: Filtra os "ruídos" (falsos positivos) gerados na etapa estática. A ferramenta instrumenta o código para rastrear o comportamento das variáveis candidatas durante a execução. Aplica regras de filtragem, como:
   • O número de valores únicos de uma variável deve estar dentro de um intervalo específico (nem muito baixo, nem muito alto).
   • A contagem de hits para cada valor deve superar um limiar.
   • Priorização de variáveis com nomes contendo termos como "state".
   • Resultado: Uma inferência precisa do modelo de estado do protocolo sem intervenção humana.

B. Aprendizado de Estrutura de Entrada (Input Structure Learning)
Para lidar com protocolos binários, o APFuzz utiliza Large Language Models (LLMs):

1. Interpretação de Sementes: As mensagens binárias iniciais (seeds) são convertidas em strings binárias e enviadas ao LLM.
2. Extração de Campos: O LLM, guiado por prompts de few-shot learning, analisa a mensagem e extrai a estrutura de campos, identificando: nome do campo, posição inicial (bit start) e comprimento (bit length).
3. Mutação Baseada em Campos: Em vez de mutar bytes aleatórios, o fuzzer aplica mutações inteligentes dentro dos limites dos campos identificados pelo LLM (ex: inverter bits dentro de um campo específico, substituir por valores de um dicionário). Isso gera mensagens válidas que conseguem atravessar camadas de validação do protocolo e alcançar estados mais profundos.

Fluxo de Trabalho: O sistema combina a instrumentação de código (para cobertura e rastreamento de estado) com a seleção de sementes guiada pelo modelo de estado inferido e mutações guiadas pela estrutura aprendida pelo LLM.

3. Contribuições Principais

1. Método de Aprendizado de Representação de Estado: Uma abordagem automatizada de duas etapas (estática + dinâmica) para identificar variáveis de estado em código-fonte, permitindo o rastreamento preciso de estados e a inferência de modelos de máquina de estados sem necessidade de anotação manual.
2. Mutação Baseada em Campos para Protocolos Binários: A primeira aplicação de LLMs para inferir a estrutura de campos em protocolos binários, permitindo mutações granulares que respeitam a sintaxe do protocolo, superando a limitação de ferramentas anteriores restritas a texto.
3. Avaliação Abrangente: Uma comparação extensa contra o baseline (AFLNET) e o estado da arte (StateAFL, NSFuzz, ChatAFL, HNPFuzzer) utilizando o benchmark ProFuzzBench.

4. Resultados Experimentais

Os experimentos foram realizados em 13 servidores de rede (mistura de protocolos de texto e binário) usando o ProFuzzBench.

• Cobertura de Código: O APFuzz superou todos os concorrentes, alcançando um aumento médio de 10,03% na cobertura de ramos (branch coverage) e 8,42% na cobertura de linhas em comparação com o AFLNET.
• Descoberta de Bugs: O APFuzz encontrou o maior número de falhas únicas (13 crashes), superando o NSFuzz e StateAFL (12 cada) e o AFLNET (8).
• Eficiência (Throughput): O APFuzz demonstrou alta eficiência, com um throughput de execução 5,19 vezes maior e de envio de mensagens 6,20 vezes maior que o AFLNET.
• Tempo de Detecção: O APFuzz detectou vulnerabilidades críticas (como heap-buffer-overflow e use-after-free) significativamente mais rápido que as outras ferramentas em vários alvos (ex: Dnsmasq e TinyDTLS).
• Interpretação de LLM: A precisão na identificação de campos em protocolos binários variou (ex: 92,59% para DNS, mas menor para SSH e DICOM devido à complexidade), mas mesmo a precisão parcial foi suficiente para guiar mutações eficazes.

5. Significado e Impacto

O APFuzz representa um avanço significativo na automação do fuzzing de protocolos:

• Redução de Esforço Manual: Elimina a necessidade de especialistas escreverem scripts para extrair códigos de estado ou anotar variáveis manualmente, tornando o processo verdadeiramente "automático".
• Suporte a Protocolos Binários: Preenche uma lacuna crítica ao permitir que técnicas guiadas por IA (LLMs) sejam aplicadas a protocolos binários, que são onipresentes em sistemas modernos (5G/6G, IoT, criptografia).
• Exploração Profunda: Ao combinar um modelo de estado preciso com mutações estruturadas, o APFuzz consegue navegar mais profundamente no espaço de estados do protocolo, encontrando bugs que fuzzers tradicionais (baseados em mutação aleatória) não conseguem atingir.

Em resumo, o APFuzz demonstra que a combinação de análise de código estática/dinâmica com a inteligência contextual de LLMs cria um fuzzer de protocolo mais inteligente, eficiente e capaz de descobrir vulnerabilidades críticas de forma autônoma.