WinAFL 实战：探索闭源软件Fuzzing技术
内容提要
WinAFL是一个基于AFL的模糊测试工具，专为Windows平台设计。它利用DynamoRIO插桩工具来跟踪和记录程序执行路径，以发现漏洞。使用WinAFL进行模糊测试需要准备初始种子输入和编写harness来控制程序的输入和执行路径。本文介绍了如何使用WinAFL对一个图片解析功能进行Fuzzing的实战案例。通过分析目标函数和构造参数，最终发现了多个程序崩溃的漏洞。
延伸解读
目标函数的选择标准
在WinAFL实战中，选择正确的目标函数是成功的关键。文章指出，目标函数必须满足四个条件：打开输入文件、解析文件、关闭输入文件以及正常返回。如果文件未关闭，WinAFL将无法重写输入；如果函数执行了ExitProcess()，WinAFL将无法正常工作。这些条件确保了模糊测试的稳定性和可重复性，读者在选取目标函数时应严格对照这些标准。
闭源程序分析工具链
针对闭源软件，文章推荐使用反编译工具（如IDA Pro、Ghidra）和调试器（如OllyDbg、x64dbg）来定位关键函数和输入点。在实战案例中，作者结合Process Monitor监控ReadFile调用堆栈，定位到cximage.dll中的解析函数，再通过IDA分析内部逻辑，最终选定sub_10001BD0作为目标函数。这种工具组合能有效降低逆向分析的难度。
Harness编写与参数构造
编写harness是控制GUI程序输入和执行路径的核心。文章以图片解析为例，展示了如何通过构造函数和虚表偏移来构造CxImage结构体，并利用动态调试确定CopyInfo函数的行为，从而简化参数传递。Harness中需要正确设置函数指针、文件操作和内存分配，确保目标函数能被反复调用。读者可参考示例代码，根据目标函数的具体调用约定调整实现。
Fuzzing执行与结果分析
启动WinAFL前，需通过drrun验证harness和插桩覆盖率，确保目标函数被正确调用。文章给出了常用参数如-coverage_module、-target_offset、-fuzz_iterations等，并说明如何用IDA的Lighthouse插件查看覆盖率。经过十几个小时的fuzz，最终发现三十多个crash，表明该方法能有效挖掘闭源软件漏洞。后续可通过调试器分析崩溃原因，但需注意fuzz时间与资源消耗的平衡。
Q&A
WinAFL是什么？
WinAFL是一个基于AFL的模糊测试工具，专为Windows平台设计。
模糊测试的基本原理是什么？
模糊测试是一种自动化软件测试技术，通过提供大量随机数据来发现程序中的漏洞。
使用WinAFL进行模糊测试需要哪些准备？
需要准备初始种子输入和编写harness来控制程序的输入和执行路径。
如何选择目标函数进行模糊测试？
目标函数需要满足打开、解析和关闭输入文件的条件，并正常返回。
WinAFL的工作流程是怎样的？
工作流程包括初始种子输入、变异输入、执行目标程序、分析结果和发现漏洞。
在模糊测试中如何监控程序执行？
可以通过Process Monitor监控进程，找到目标函数并进行参数构造。
