模糊测试重新定义应用程序的安全性

数字化时代，云计算、人工智能等先进技术为网络安全行业带来了迅猛的进步，但同时也孕育了更多新型的安全威胁。如备受瞩目的 0day 漏洞攻击，因其不可预见性一直给企事业单位带来着严重的安全威胁。近些年，如针对伊朗核设施的 Stuxnet 蠕虫病毒、影响全球大量系统的 WannaCry 勒索软件和 SolarWinds 供应链攻击等，都导致了重大的经济损失，给信息化产业的发展造成了深远的影响。

鉴于这种形势，为防范更多的安全威胁，众多企业开始采纳“安全左移”策略，即在代码开发阶段介入安全，将安全能力左移，确保在开发阶段做好安全检测，尽可能降低应用带“病”上线的风险。过往，像静态分析、动态分析、软件成分分析等工具都是企业中常见的安全检测工具，此类工具应用于软件开发生命周期的不同阶段，而且具有不同的优势和适用场景。

安全左移 （图片来源于网络）

除传统的检测工具外，近几年模糊测试技术在科研界与产业界变得炙手可热，其在软件开发过程中发挥着越来越重要的作用。模糊测试是一种自动化的软件测试技术，通过向软件输入模糊、无效或异常的数据，来测试其对不良输入的反应能力。这种测试方法旨在模拟现实世界中的各种情况，以确保软件在面对非预期输入时能够正确地处理。模糊测试的目标是尽可能地让软件崩溃或产生不良行为，从而揭示潜在的安全漏洞或错误。在应用程序的安全检测中，模糊测试有如下几个突出优势：

• 漏洞挖掘：模糊测试能够发现许多常见的安全漏洞，例如缓冲区溢出、越界读写、格式化字符串攻击等。这些漏洞可能会被攻击者利用，导致应用程序崩溃或被恶意代码利用。通过模糊测试，可以提前发现并修复这些漏洞，提高应用程序的安全性。

• 异常检测：除了已知的漏洞，模糊测试还可以检测到许多未知的异常行为。这些异常行为可能是错误的输入验证或非预期输入导致的。通过检测这些异常行为，可以发现潜在的问题和错误，进一步提高应用程序的可靠性与健壮性。

• 输入验证：模糊测试可以帮助开发者更好地验证用户输入。在许多情况下，应用程序的安全性取决于输入的正确性和安全性。通过模糊测试，可以发现许多常见的输入验证错误，例如 SQL 注入、跨站脚本攻击（XSS）等。这些错误可能导致攻击者利用应用程序的安全漏洞获取未授权的访问或数据。

随着模糊测试技术的不断演进，近年来诸多研究者已将传统模糊测试技术与 AI 遗传算法、神经网络和 AIGC 等技术相融合，提出了智能模糊测试技术的概念，并被华为、Google、微软等科技巨头广泛应用。相比传统模糊测试，智能模糊测试技术有着更高的检测效率与测试覆盖率。

模糊测试结合神经网络（图片来源于网络）

在智能模糊测试中，遗传算法可以用来生成更多的测试用例。遗传算法模仿了生物进化的过程，通过对测试用例的评估、选择、交叉和变异等操作，逐步优化测试用例，使其能够更好地测试应用程序的边界情况。例如，通过改变输入数据的长度、格式或内容等方面，遗传算法可以生成更多不同类型的测试用例，从而增加测试的覆盖率。

神经网络则可以用于构建模糊测试的目标函数。神经网络是一种基于人工神经元的计算模型，它可以通过学习大量的数据来进行分类、预测和优化等任务。在模糊测试中，可以使用神经网络来评估测试用例的质量，例如判断测试用例是否能够触发应用程序的漏洞或异常行为。通过不断地训练神经网络，可以逐步提高其评估测试用例的准确度和效率，从而进一步提升模糊测试的效果。

随着大模型技术火爆出圈，不少研究者也在积极探索其与模糊测试的结合，并在测试驱动与修复代码的自动化生成方面取得了突破性的进展。在检测方面，通过使用模型能力可以更好地了解被测程序的语义、参数、函数接口等。基于这些信息就可以指导代码模型自动化生成测试驱动，有效提升了模糊测试工具的自动化程度，降低了其使用门槛。在缺陷修复方面，通过将存在漏洞的代码片段与模糊测试的分析结果作为测试用例输入大模型，可高效生成修复后代码，加快漏洞修复速度，提升代码质量。

总的来说，智能模糊测试是一种出色的测试技术，它可以在软件开发生命周期的初期被引入，有效地识别潜在的未知漏洞，从而提升软件的整体质量。其出色的测试效率与深度检测能力，使它成为重新塑造应用安全的首选技术。其中，Gartner 在其应用程序安全测试的魔力象限报告中也特别提及了模糊测试，进一步凸显了其在技术领域的重要地位。

展望未来，伴随着信息技术的持续进步，我们期望模糊测试技术将在更多的应用领域得到运用，为企业有效地应对各种复杂的安全威胁提供支持。