💻 computer science

MulCovFuzz: A Multi-Component Coverage-Guided Greybox Fuzzer for 5G Protocol Testing

本文提出了名为 MulCovFuzz 的新型多组件覆盖率引导灰盒模糊测试工具，通过动态监控 5G 系统架构中各组件的代码覆盖率并结合效率指标优化测试用例生成，在 OpenAirInterface 测试中显著提升了代码覆盖率与漏洞发现能力，成功挖掘出三个零日漏洞。

原作者： Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

发布于 2026-02-26

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这是一篇关于如何给 5G 网络做“体检”并找出隐藏漏洞的学术论文。为了让你轻松理解，我们可以把 5G 网络想象成一个巨大的、高度自动化的现代物流枢纽，而这篇论文提出的工具（MulCovFuzz）则是一位拥有“透视眼”和“全局视野”的超级安检员。

以下是用通俗语言和比喻对这篇论文的解读：

1. 背景：为什么 5G 需要特殊的“安检”？

现在的 5G 网络不像以前的老式电话网那样简单。它像是一个由无数个独立小公司（组件）组成的超级联盟。

传统做法（黑盒测试）： 以前的安检员就像蒙着眼睛扔石头。他们往系统里扔各种奇怪的数据包（就像往物流站扔各种奇怪的包裹），然后看系统会不会崩溃（比如大门会不会被砸坏）。
- 缺点： 他们不知道石头具体撞到了哪块砖，也不知道为什么撞坏了。如果石头没砸坏大门，他们可能以为没事，但其实内部结构已经松动了。
新挑战： 5G 网络太复杂了，各个组件（比如负责调度的、负责路由的、负责存储的）之间紧密相连。一个组件的异常反应，可能是另一个组件“传话”传错了导致的。只看表面反应，根本抓不住真正的漏洞。

2. 核心创新：MulCovFuzz 是什么？

这篇论文提出了一个叫 MulCovFuzz 的新工具。我们可以把它想象成一位拥有“上帝视角”的侦探。

它的三个超能力：

A. 多组件“透视眼” (Multi-Component Coverage)

比喻： 传统的安检员只盯着物流站的“大门”（主服务器）看。如果大门没坏，他就觉得安全。
MulCovFuzz 的做法： 它给物流站里的每一个小仓库、每一辆运输车、每一个调度员都装上了微型摄像头。
效果： 当它扔出一个测试包裹时，它能同时看到：
1. 大门有没有反应？
2. 调度员有没有收到错误的指令？
3. 运输车有没有走错路？
4. 仓库管理员有没有因为困惑而卡住？
- 关键点： 很多漏洞只有在“调度员”和“运输车”同时出错时才会暴露。传统方法看不见这些内部互动，而 MulCovFuzz 能看见。

B. 智能“评分系统” (Scoring Function)

比喻： 安检员每天只有 24 小时，不可能扔完所有可能的包裹。他需要决定把时间花在哪儿。
MulCovFuzz 的做法： 它给每一个测试包裹打分。
- 如果一个包裹只让大门动了一下，得分低。
- 如果一个包裹不仅让大门动了，还让调度员、运输车、仓库管理员都产生了新的、以前没见过的反应，得分就极高！
效果： 系统会自动把更多的时间（能量）分配给那些得分高的包裹，去深挖那些复杂的、容易出错的角落。

C. 快速“传声筒” (Coverage Collection Module)

挑战： 5G 组件分布在不同的地方（甚至不同的服务器上），实时收集所有摄像头的画面会太慢，导致安检效率降低。
MulCovFuzz 的做法： 它设计了一套高效的“传声机制”。它不会一直盯着看，而是当发现大门有异常时，才迅速去调取其他组件的录像。
效果： 既保证了能看到全局，又不会让安检过程变得太慢。

3. 实验结果：它有多厉害？

研究人员在开源的 5G 系统（OpenAirInterface）上进行了测试，就像在真实的物流站里演练。

覆盖率提升： 相比传统方法，它多发现了 5.85% 的代码路径和 7.17% 的代码行。这听起来不多，但在庞大的代码库中，这意味着它挖到了很多别人没看到的“死角”。
发现漏洞更多： 在 24 小时的测试中，它发现的独特崩溃（Crash）数量比传统方法多了 16%。
挖出“零日漏洞”： 最厉害的是，它发现了 3 个以前没人知道的严重漏洞（Zero-day）。
- 其中有两个漏洞，是其他所有测试工具（包括最先进的工具）都完全没发现的。
- 例子： 有一个漏洞藏在“用户身份解码”的深处。只有当测试包裹同时触发了“调度员”和“仓库”的特定状态组合时，这个漏洞才会爆发。MulCovFuzz 因为能看到全局互动，所以成功抓住了它。

4. 总结：这对我们意味着什么？

以前： 我们修 5G 网络，像是在黑暗中摸索，只能等系统彻底坏了才知道有问题。
现在： MulCovFuzz 让我们能在系统上线前，就拿着“透视眼”把那些隐藏在组件互动深处的隐患找出来。
意义： 随着 5G 成为我们生活的基础设施（自动驾驶、远程医疗、智慧城市），这种能发现“深层互动漏洞”的工具，就像给未来的数字世界穿上了一层更坚固的防弹衣。

一句话总结：
这篇论文发明了一种能同时盯着 5G 网络所有内部零件看的测试工具，它比以前的方法更聪明、更敏锐，成功挖出了许多别人看不见的致命漏洞，让 5G 网络更安全。

以下是基于论文《MulCovFuzz: A Multi-Component Coverage-Guided Greybox Fuzzer for 5G Protocol Testing》的详细技术总结：

1. 研究背景与问题 (Problem)

随着 5G 网络向云原生、服务化架构（SBA）演进，其系统复杂性显著增加，引入了网络切片、多接入边缘计算（MEC）等新技术。然而，现有的 5G 安全测试面临以下主要挑战：

传统方法的局限性：传统的 5G 安全测试主要依赖黑盒模糊测试（Black-box Fuzzing）。这些方法仅依赖系统响应（如崩溃、超时）来判定测试效果，无法观察程序内部状态和代码覆盖率，导致难以发现深层逻辑漏洞。
单组件覆盖的不足：现有的灰盒模糊测试工具（如 AFLNet）通常仅针对单一组件（如 AMF）进行代码覆盖监控。然而，5G 核心网由多个分布式网络功能（NFs，如 AMF, SMF, UPF, NRF）组成，组件间存在紧密的依赖关系。仅监控单一组件会忽略跨组件交互触发的复杂执行路径（Corner Cases），导致大量潜在漏洞未被发现。
测试效率低下：由于缺乏对跨组件交互的反馈机制，传统模糊测试难以生成能够触发多组件协同行为的测试用例，导致对协议状态空间的探索不够充分。

2. 方法论 (Methodology)

为了解决上述问题，作者提出了 MulCovFuzz，这是一种面向 5G 协议测试的多组件覆盖引导灰盒模糊测试框架。其核心方法论包括：

2.1 整体架构

MulCovFuzz 作为一个客户端，与被测系统（SUT，主要是 AMF）交互。它通过三种反馈机制来指导测试：

消息反馈：发送测试输入并接收响应。
信号反馈：监控进程状态（如崩溃、异常终止）。
覆盖反馈（核心创新）：收集来自 5G 系统多个组件（AMF, SMF, UPF, NRF 等）的代码覆盖信息。

2.2 多组件覆盖收集模块 (MCCM)

针对 5G 分布式架构和容器化部署的特点，设计了 MCCM 模块，包含三个子组件：

Controller（控制器）：协调收集请求。当 AMF 的覆盖发生新变化时，控制器通过轻量级 RPC 向其他组件的 Collector 发送指令，请求获取其覆盖数据。
Collector（收集器）：部署在每个组件的容器中。负责读取本地共享内存（SHM）中的覆盖位图（Bitmap），进行编码压缩后返回给 Controller。
Launcher（启动器）：负责初始化组件容器、创建 SHM 段、监控进程健康状态，确保覆盖数据的一致性。
技术细节：利用 afl-clang-fast 对 LLVM 框架下的各个网络功能组件进行插桩，收集基本块覆盖信息。覆盖位图采用 8 级（0-7）对数分桶机制（类似 AFL），记录边（Edge）的命中频率。

2.3 基于多组件覆盖的评分函数 (Scoring Function)

为了指导测试用例的生成和调度，设计了一个新的能量评分函数 $S(t)$ ，结合覆盖奖励和效率奖励：
$S(t) = w_1 R_c(t) + w_2 R_e(t)$

覆盖奖励 ( $R_c$ )：量化测试用例在所有插桩通道（即不同组件）上的覆盖贡献。如果测试用例触发了多个组件的新路径，其得分更高。
效率奖励 ( $R_e$ )：基于执行时间评估资源利用率。
调度策略：评分高的种子（Seed）将获得更多的测试资源（能量分配），从而引导模糊测试器优先探索那些能引发跨组件交互的复杂路径。

3. 关键贡献 (Key Contributions)

首创多组件覆盖引导机制：提出了一种针对 5G 核心网的新型模糊测试范式，打破了传统工具仅依赖单一组件覆盖的局限，能够动态监控 AMF、SMF、NRF、UPF 等多个组件的协同行为。
高效的分布式覆盖收集架构：设计了 MCCM 模块，解决了在容器化、分布式环境下实时收集多组件覆盖数据的延迟和开销问题，实现了细粒度的跨组件反馈。
新型能量评分函数：提出了一种结合多组件覆盖增益与执行效率的评分算法，有效平衡了“探索”（发现新路径）与“利用”（优化测试资源）之间的关系。
全面的实验验证：在开源 5G 实现 OpenAirInterface (OAI) 上进行了广泛评估，证明了该方法在代码覆盖率和漏洞发现能力上的显著优势。

4. 实验结果 (Results)

作者在 OpenAirInterface (OAI) 平台上进行了为期 24 小时的对比实验，将 MulCovFuzz 与传统的 AFLNet 进行对比：

代码覆盖率提升：
- 分支覆盖率：提升了 5.85%。
- 行覆盖率：提升了 7.17%。
- 结果表明，多组件反馈能有效引导测试器进入更深层、更复杂的执行路径。
漏洞发现能力：
- 唯一崩溃数：MulCovFuzz 发现了约 2900 个唯一崩溃，比 AFLNet 的 2500 个提高了 16%。
- 零日漏洞 (Zero-day)：成功发现了 3 个 零日漏洞，其中 2 个 是其他模糊测试工具（包括 AFLNet）未能发现的。
  - vul-01: SCTP 服务器中的空指针解引用（发现时间比 AFLNet 快 10 倍以上）。
  - vul-02: ITTI 模块中的未捕获异常（AFLNet 24 小时内未发现）。
  - vul-03: 5G 移动身份解码器中的堆缓冲区溢出（HBO），这是一个需要精确构造跨组件状态才能触发的复杂漏洞，AFLNet 未能触发。
组件交互分析：实验数据显示，当 AMF 发现新路径时，往往会引发 NRF 和 SMF 的覆盖激增，证明了多组件反馈机制成功捕捉到了组件间的级联效应。

5. 意义与影响 (Significance)

提升 5G 安全性：MulCovFuzz 证明了在 5G 这种高度分布式、服务化的架构中，必须采用多组件视角的测试方法才能有效发现深层漏洞。这对于保障关键基础设施（如物联网、边缘计算）的安全至关重要。
推动模糊测试技术发展：该工作将灰盒模糊测试从单进程/单组件扩展到了分布式系统领域，为测试微服务架构、云原生应用提供了新的思路和方法论。
实际落地价值：通过发现真实的零日漏洞（包括内存破坏和逻辑异常），展示了该工具在实际 5G 网络部署中的实用价值，有助于在商用前修复潜在的安全隐患。
未来方向：论文指出了未来可结合领域知识（协议状态机）优化评分函数，以及将多组件覆盖反馈推广到其他分布式系统（如 IoT、微服务）的可能性。

总结：MulCovFuzz 通过引入多组件覆盖反馈机制，成功解决了传统模糊测试在 5G 复杂架构下“盲人摸象”的问题，显著提升了测试的深度和广度，是 5G 协议安全测试领域的一项重要进展。