模糊测试：让机器替你找崩溃

全文分三层：

1. 通俗理解：让一万只猴子乱按键盘，但只奖励发现新房间的猴子
2. 实际用处：AFL、OSS-Fuzz、Heartbleed、智能合约的不变量测试、AI 辅助
3. 原理与工程要点：覆盖率引导、怎么写测试入口、检测器、什么样的代码适合模糊测试

第一层：通俗理解

1.1 一万只猴子，只奖励发现新房间的

想象一栋迷宫般的大楼，有些房间里藏着炸弹（bug）。你派一万只猴子进去乱跑：

• 纯随机：大部分猴子在门口转圈，很少有能走到深处的；
• 覆盖率引导：每当一只猴子走进了一个从没人去过的房间，就记下它的路线；之后的猴子从这些路线出发，再随机多走几步。

这样，探索的范围会越来越深，最终走到人类测试员想不到的角落里。

1.2 它擅长找什么

特别擅长测试解析不可信输入的代码：文件格式、网络协议、压缩、图片解码、正则引擎。

第二层：实际用处

• AFL（2013）：Michał Zalewski 发布的 American Fuzzy Lop，开创了实用的覆盖率引导模糊测试，在大量知名软件中发现了漏洞。之后有 libFuzzer、AFL++、honggfuzz 等。
• Heartbleed（2014）：OpenSSL 的这个严重漏洞由两组人独立发现，其中一组（Codenomicon 公司）正是在用自己的模糊测试工具测试 TLS 实现时发现的。
• OSS-Fuzz（2016 年起）：谷歌为关键开源项目提供的免费持续模糊测试服务。截至 2023 年，它已在一千多个项目中帮助发现并修复了一万多个安全漏洞和数万个其他 bug。
• 智能合约：Foundry、Echidna 等工具对合约做"不变量模糊测试"：随机生成调用序列，检查"资产 ≥ 负债"一类的性质是否始终成立（见《合约审计与形式化验证》）。
• AI 辅助：近年开始用大模型自动编写模糊测试入口、分析崩溃，甚至直接寻找漏洞。谷歌在 2024 年报告了其 AI 代理在 SQLite 中发现了一个此前未知的可利用漏洞。

第三层：原理与工程要点

3.1 覆盖率引导的循环

编译时插入轻量的"探针"，记录程序经过了哪些分支。一个输入只要触发了新的分支组合，就被视为"有趣"，加入语料库。

3.2 写一个测试入口

模糊测试需要一个"入口函数"：接收一段任意字节，喂给被测代码。以 libFuzzer 风格为例：

int LLVMFuzzerTestOneInput(const uint8_t *data, size_t size) {
    parse_my_format(data, size);   // 被测函数：不能崩溃，不能违反断言
    return 0;
}

好的入口：

• 快：每秒能跑成千上万次；
• 确定：同样的输入总是同样的结果；
• 聚焦：只测一个解析器或一个模块。

还可以加入性质检查，比如"解析后再序列化，应该得到相同的内容"（往返测试），或者"两种实现的输出必须一致"（差分测试，见《多源交叉验证》）。

3.3 检测器（sanitizer）

很多内存错误不会立即导致崩溃，而是悄悄破坏数据。编译时开启检测器，能让这些问题在发生的那一刻就被抓住：

3.4 种子语料

从一些合法的样本输入开始（比如几个正常的图片文件、几条正常的协议消息），比从空白开始效率高得多。语料库要持续保存，作为回归测试的一部分。

3.5 和其他测试的关系

模糊测试最适合持续运行：接入 CI，每次代码变更都跑一段时间，或者像 OSS-Fuzz 那样全天候运行。

总结