Fuzz testi nedir?

Düzenli olarak fuzzing olarak bilinen fuzz testi, kodlama sorunlarını ve güvenlik sorunlarını tanımak için hatalı veya rastgele bilgileri (FUZZ) bir ürün çerçevesine yerleştirmeyi içeren bir ürün test prosedürüdür. Fuzz testi, robotize veya yarı bilgisayarlı prosedürler kullanan bir çerçeveye bilgi aşılamayı ve çerçeveyi farklı muafiyetler, örneğin çerçeve çökmeleri veya örtük kod hayal kırıklığı için araştırmayı içerir.

Kısa Tarihçe

Fuzz testi, 1989 yılında Profesör Barton Miller ve bazı lisans öğrencileri tarafından Wisconsin Madison Üniversitesi’nde oluşturuldu. (Devam eden) keşifleri http://www.cs.wisc.edu/~bart/fuzz/ adresinde bulunabilir; esas olarak sipariş satırına ve UI fuzzing’e göre düzenlenmiştir ve en yeni çalışma çerçevelerinin basit fuzzing’e karşı bile güçsüz olduğunu gösterir.

Fuzzing neyi test etmek için kullanılır?

Fuzzer, yarı keyfi bilgileri bir programa veya yığına aktararak sorunları ayırt eden bir programdır.
Bilgi oluşturmak için jeneratörler, zayıflıkları ayırt etmek için sorun giderme cihazları kullanılır. Statik bulanıklaştırma vektörlerinin (tehlikeli olduğu bilinen nitelikler) veya tamamen keyfi bilgilerin karışımları genellikle jeneratörler tarafından kullanılır. Kalıtsal hesaplamalar, aşılanmış bilgiyi fark edilen etkiyle ilişkilendirmek için yeni çağ meraklıları tarafından kullanılır. Bu tür araçlar henüz genel nüfus için erişilebilir değildir.

Tüylenme testi türleri

Bir fuzzer, saldırı karışımlarına bir şans verir:

• sayılar (işaretli/işaretsiz sayılar/kayan…)
• yanıklar (url’ler, sipariş satırı girişleri)
• meta veriler: istemci giriş metni (id3 etiketi)
• katkısız ikili düzenlemeler

Bulanıklıkla başa çıkmanın tipik bir yolu, her tür için “tehlikeli olduğu bilinen niteliklerin” (tüy vektörleri) düzenlemelerini karakterize etmek ve onları ya da rekombinasyonları aşılamaktır.

• tam sayılar için: sıfır, belki negatif veya son derece büyük sayılar
• kızartmalar için: kaçmış, yorumlanabilir karakterler/yönergeler (örn: SQL İstekleri, alıntılar/siparişler için…)
• eşleştirilmiş için: keyfi olanlar

Konvansiyonlar ve kayıt tasarımları, arada sırada sisli, aşırı derecede dolambaçlı veya ciddi şekilde uygulanan standartları ifade eder: mühendislerin burada ve orada uygulama etkileşiminde (zaman/maliyet gereksinimleri açısından) karışıklık yaşamasının nedeni budur. Karşıt stratejiyi benimsemenin ilgi çekici olmasının nedeni budur: bir standart alın, gerekli tüm bileşenleri ve sınırlamaları kontrol edin ve her birini deneyin; yasadışı/elde tutulan nitelikler, bağlantılı sınırlar, alan boyutları. Bu, odaklanmış bulanıklaştırmayı deneyen uygunluk olacaktır.

Uygulama bulanıklaştırma

Bulanık çerçeve ne olursa olsun, saldırı vektörleri I/O’sunun içindedir. Bir çalışma alanı uygulaması için:

UI (düğmelerin/metin girişlerinin her birinin test edilmesi)
sipariş satırı seçimleri
içe aktarma/gönderme kapasiteleri (aşağıdaki kayıt tasarımına bakın)
Bir web uygulaması için: url’ler, yapılar, istemci tarafından üretilen içerik, RPC talepleri, …

Konvansiyonel fuzzing

Bir gösteri fuzzer ya denenen uygulamaya biçimlendirilmiş paketler verir ya da bir orta, satışları değiştirerek ve aceleyle yeniden oynayarak gider.

Arşiv planını bulanıklaştırmak

Bir kayıt planı fuzzer, daha sonra ayrı ayrı açılan, bükülmüş olayların bir ilerlemesini üretir. Bir ürün çöktüğünde, araştırma bilgileri ek inceleme için bir kenara bırakılır.
Biri saldırabilir:

• rapor planı hedefleri, yapısı, gösterileri, alan boyutları, flamalar vb. tamamen ayrıştırıcı katman (tutucu katman) tarafından ele alınır.
• programın daha önemli dahili öğelerine odaklanan codec/uygulama katmanına daha düşük seviyeli saldırılar

MS04-028, kayıt yapılandırma sürecindeki bir kusurun bir örneğidir (KB833987) Hiçbir madde içermeyen sıfır olarak değerlendirilmiş bir yorum alanı, Microsoft’un JPEG GDI+’ında bir kusurdu.

Şaşırtıcı bir şekilde, rapor planı fuzzer’ları, gerçekte ara sıra ortaya çıkmalarına rağmen, makul olmayan bir şekilde normal değiller; birkaç modele erişilebilir:

• Ilja van Sprundel’in mangle.c’si standart bir kayıt planı fuzzer’ıdır “Kullanımı çok basittir; bilgi olarak sadece bir dosya adı ve başlık boyutu gerektirir. “Bits” noktasında düzensizlikle başlığın yaklaşık %0 ve %10’una yakın bir yerde ayarlayacaktır. (yaratıcı tarafından yapılmıştır)
• http://sam.zoy.org/zzuf/ – Zzuf, bulanık bir kayıt oluşturucu olarak kullanılabilir. Kayıt planı fuzzer iyileştirmesi için, Hachoir gibi gadget’lar geleneksel bir ayrıştırıcı olarak kullanılabilir.

Fuzz Testing tarafından tespit edilen hata türleri

İfadelerdeki memnuniyetsizlikler ve hafıza deşarjları.
Bu hipotez, zayıflıkların hafıza iyiliğini etkilediği büyük API güvenliği için düzenli olarak kullanılır, ki bu şakaya gelmez bir kusurdur.

Yanlış veri.
Fuzz testi, daha sonra, eleştirisi üzerinde kontrolü olmayan bir öğe için önemli olan planlama hatalarını test etmek için kullanılan hatalı bilgiler oluşturmak için fuzzer’ları kullanır. Doğrudan fuzzing, negatif testi mekanize etmek için bir yöntemdir.

Doğruluk hataları.
Fuzzing, belirli türdeki “kesinlik” konularını tanımak için de kullanılabilir. Örneğin, kirli bir bilgi tabanı, savunmasız yıkık şeyler ve daha fazlası.

Fuzz Testi Nasıl Yapılır?

Bulanık test stratejileri, tüm hayati test adımlarını içerir:

• Aşama 1: Amaç yapısını tanımlayın
• Aşama 2: Bilgi kaynaklarını belirleyin
• Aşama 3: Bulanık bilgi oluşturun
• Aşama 4: Testi belirsiz bilgilerle çalıştırın.
• Aşama 5: Yapının sergisine bir göz atın.
• Aşama 6: Günlük çöller

Fuzz test araçları

Burp Suite, Peach Fuzzer ve diğerleri gibi web güvenlik cihazları da fuzz testi için kullanılabilir.

Peach Fuzzer.
Peach Fuzzer, çok yönlülük ve güvenlik açısından tarayıcıları geride bırakıyor. Peach Fuzzer, bilinen dizileri takip edebilen diğer test aletlerinden farklı olarak, müşterilerin hem bilinen hem de belirsiz dizileri gözlemlemelerine izin verir.

Spike in Proxy
Uygulama düzeyindeki sorunlar için web uygulamalarının çıktısını veren uzman düzeyinde bir cihazdır. SPIKE Proxy, SQL ve siteler arası düzenleme gibi temel özellikleri bir bütün olarak içerir, ancak açık bir Python aşamasına bağlıdır. Linux ve Windows istemcileri SPIKE Proxy’yi kullanabilir.

Webscarab
Webscarab, farklı düzeylerde kullanımı daha kolay hale getirmek için Java ile yazılmıştır. Webscarab çerçevesi, HTTP ve HTTPS kurallarını kullanarak iletişim kuran uygulamanın yapısını bozmak için kullanılır.

Örneğin Webscarab, yöneticinin program tarafından gönderilen talepleri sunucu tarafından alınmadan önce gözden geçirmesine ve revize etmesine izin veren, yolun ortası olarak kapasiteler. Program tarafından alınmadan önce sunucunun tepkisini gözden geçirmenize ve yenilemenize izin verir. Böylece, web bok böceğinin herhangi bir break ifadesi görmesi durumunda, hataların tam bir özetini oluşturacaktır.

WSFuzzer by OWASP
WSFuzzer, Python tabanlı bir GPL yetkili uygulamasıdır. Şu anda, GPL’d olan bir program Web Servislerine odaklanmıştır. HTTP tabanlı SOAP organizasyonları, OWASP WSFuzzer’in mevcut varyantının temel amacıdır.

Fuzz Testinin Avantajları ve Dezavantajları

Fuzz Testinin Artıları

• Fuzz testi, programlama güvenlik testinin geliştirilmesinde ileri bir aşamadır.
• Bulanık hatalar periyodik olarak büyüktür ve çoğu zaman geliştiriciler tarafından kullanılır, örneğin çökmeler, bellek sızıntısı, işlenmeyen istisnalar vb.
• Hatalardan herhangi birinin analizörler tarafından gözden kaçırılması durumunda, zaman veya varlık olmaması nedeniyle hatalar aynı şekilde Fuzz testi sırasında bulunur.

Fuzz Testinin Eksileri

• Tüylenme testi tek başına bir güvenlik tehlikesi veya kusurunun tam bir görüntüsünü veremez.
• Fuzz testi, kontaminasyonlar, solucanlar, Truva atları ve diğer kötü amaçlı yazılımlar gibi programlama hayal kırıklıklarına neden olmayan güvenlik tehlikelerini belirlemede daha az uygulanabilir.
• Fuzz testi, temel kusurları veya tehlikeleri tanıyabilir.
• İyi performans göstermesi için biraz yatırım gerektirecektir.

Öngörülemeyen bilgi kaynaklarıyla bir sınır gözetme koşuluna karar vermek son derece zahmetlidir, ancak çoğu analizci şu anda bu sorunu müşteri girdilerini göz önünde bulundurarak deterministik hesaplamalar kullanarak ele almaktadır.