技术摘要：PeAR —— 一种用于仅二进制模糊测试的静态二进制重写框架

1. 问题陈述

对于无法获取源代码的闭源软件，仅二进制模糊测试（Binary-only fuzzing）对于发现漏洞至关重要。在这种背景下，模糊测试器依赖于静态二进制插桩（SBI）或动态二进制插桩（DBI）来追踪代码覆盖率。虽然 DBI（如 Intel Pin、QEMU）因其被认为易于实现且具有完备性而被广泛使用，但它会产生显著的运行时开销（通常慢 10–100 倍），从而严重限制了模糊测试器的吞吐量。

相反，SBI 通过在执行前重写二进制文件来提供较低的运行时成本。然而，现有的 SBI 框架在历史上一直难以在准确性和泛用性方面取得平衡。许多框架无法对复杂的真实世界目标进行插桩，并且至关重要的是，它们缺乏对现代性能增强技术的支持，而这些技术在基于编译器或基于 DBI 的模糊测试器中已非常普遍。具体而言，延迟初始化（deferred initialization）、**持久模式（persistent mode）以及共享内存模糊测试（shared-memory fuzzing）**等功能在大多数 SBI 框架中仍未得到支持。这一差距引发了一个问题：是否可以利用近年来的静态二进制重写进展，来构建一个鲁棒、高性能且可扩展的仅二进制模糊测试框架。

2. 方法论

作者开发了 PeAR，这是一个可扩展的仅二进制模糊测试框架，它利用现成的静态二进制重写技术来注入现代模糊测试插桩。

核心架构

PeAR 构建于 GrammaTech 二进制中间表示（GTIRB） 和 Ddisasm 反汇编器之上。其工作流程包括：

1. 静态分析： 使用基于 Datalog 实现的 Ddisasm 对目标二进制文件进行反汇编，以解码指令并生成事实超集。通过分析这些事实进行符号化和控制流处理，然后将其转换为 GTIRB 中间表示。
2. 插桩： 使用 gtirb-rewriting 框架，PeAR 在将代码降级回原生代码之前，直接在 GTIRB 中注入插桩。

关键插桩功能

不同于主要关注基础覆盖率追踪的以往 SBI 工具，PeAR 实现了一套高级功能：

• 覆盖率追踪： PeAR 在基本块的起始处插入跳转点（trampolines）以追踪边缘覆盖率，模拟了 AFL++ 中使用的 __afl_maybe_log 逻辑。它能够处理由 call 指令终止的中间过程控制流图（CFG）。
• 延迟初始化： 框架允许用户指定模糊测试器 forkserver 进行初始化的函数或地址。这使得每次测试用例都可以跳过复杂的特定目标初始化例程，从而降低开销。
• 持久模式： PeAr 不再为每个输入启动一个新进程，而是将目标函数封装在一个循环中。插桩过程会保存并恢复寄存器状态和返回地址，从而允许单个进程执行多个输入。
• 共享内存模糊测试： 为了避免文件系统 I/O 带来的惩罚，PeAR 实现了一个钩子（hook），将目标的输入缓冲区指针直接重定向到包含测试用例的共享内存区域。这是通过保存目标寄存器状态，通过钩子函数修改相关寄存器（例如用于缓冲区指针的 rdi），并在执行前恢复状态来实现的。

3. 核心贡献

本文的贡献如下：

1. PeAR 框架： 一个基于 SBI 的模糊测试框架，能够跨广泛的目标注入现代模糊测试插桩（延迟初始化、持久模式、共享内存）。
2. 全面评估： 对 PeAR 以及其他四种最先进的 SBI 框架（ZAFL、StochFuzz、afl-dyninst、E9AFL）在 FuzzBench 基准测试集上进行了严格评估。评估过程累计耗时 4.25 个 CPU 年。
3. 证明了 SBI 的可行性： 本研究挑战了“SBI 本质上不准确或无法支持高级功能”的普遍假设，表明现代重写框架可以实现高粒度且几乎不牺牲性能的效果。

4. 实验结果

评估在 25 个 FuzzBench 目标（其中 20 个用于覆盖率/性能分析）上进行。

鲁棒性

• 插桩成功率： PeAR 成功插桩了 25 个目标中的 22 个 (88%)，这一成功率与表现最好的 SBI 模糊测试器相当（ZAFL 为 23/25，StochFuzz 为 22/25）。
• 失败模式： 失败主要归因于构建/重写问题或错误的插桩导致在良性输入上发生崩溃。PeAR 在两个目标（curl、libjpeg-turbo）上需要手动提示，因为 Ddisasm 误识别了数据表或常量。

代码覆盖率

• PeAR 在所有 SBI 模糊测试器中实现了最高的平均归一化覆盖率得分 (87.91%)。
• 该性能与 AFL++ QEMU 模式（87.84%，一种 DBI 基准）相当，并显著优于其他 SBI 工具，如 E9AFL (6.62%) 和 afl-dyninst (57.79%)。
• 启用持久模式和共享内存后，PeAR 的覆盖率略微提升至 89.95%，这证明了更高的吞吐量有助于更好的状态空间探索。

吞吐量与性能

• 吞吐量增益： 消融研究显示，启用持久模式使 PeAR 的吞吐量中值提高了 2.56×。添加共享内存模糊测试后，吞吐量进一步提升至基础配置的 4.07×。
• 基准差异： 具有昂贵初始化过程的目标（如 curl）收益巨大（使用共享内存时高达 31.23×），而轻量级目标提升较小。
• 对比： 带有高级功能的 PeAR 在所有仅二进制模糊测试器中始终保持最高的吞效比，通常比次快的 SBI 模糊测试器高出中值 3.56×。

5. 重要性与主张

作者声称，PeAR 证明了 SBI 是仅二进制模糊测试中一种切实可行且有效的技术。论文认为，在使用像 GTIRB 这样现代、现成的重写框架时，历史上对 SBI 准确性和完备性的担忧是不必要的。

具体而言，论文主张：

• 可扩展性： 现代二进制重写框架可以以高粒度应用复杂的插桩（如持久化循环和共享内存钩子）。
• 性能对等： SBI 可以实现与编译器插桩和 DBI 解决方案（QEMU 模式）相当的代码覆盖率，同时提供比 DBI 显著更好的吞吐量。
• 功能对等： 在 SBI 环境中实现高级模糊测试技术（延迟初始化、持久模式、共享内存）是可能的，而这在以前是 SBI 生态系统中缺失的能力。

论文总结道，尽管挑战依然存在（例如处理不支持的指令或复杂的数据表），但结合强大的静态分析和现代重写工具，使得 SBI 成为针对闭源软件进行高性能模糊测试的可行替代方案。未来的工作包括扩展对 Windows PE 二进制文件及其他架构的支持。