Fuzz方法在SPDK iSCSI的应用实例

一  Fuzz 简介

本文目的是介绍如何使用fuzz方法写出测试代码。首先了解一下fuzz的概念。

  

1  Fuzz Test 是什么

中文可翻译为模糊测试。就是用大量的测试用例一个一个试，尽可能多的找出有可能出问题的地方。第一个模糊测试工具，最初由Barton Miller于1989年在威斯康星大学开发。模糊测试是一种软件测试技术，它是一种安全测试。

在模糊测试中，用随机坏数据（也称做 fuzz）攻击一个程序，然后等待观察哪里遭到了破坏。模糊测试的技巧在于，它是不符合逻辑的。自动模糊测试不去猜测哪个数据会导致破坏（就像人工测试员那样），而是将尽可能多的杂乱数据投入程序中。经过这个测试验证过的失败模式通常对程序员来说是个彻底的震憾，因为任何按逻辑思考的人可能都不会想到这种失败。

2  为什么要进行模糊测试？

• 可能发现最严重的安全故障或缺陷。

• 当与Black Box测试、Beta测试和其他调试方法一起使用时，模糊测试可以提供更有效的结果。

• 模糊测试用于检查软件的漏洞。这是非常划算的测试技术。

• 模糊测试是黑盒测试技术之一。模糊测试是黑客用来发现系统漏洞的最常见方法之一。 

3  模糊测试能检测到的错误类型

• 断言失败和内存泄漏

  此方法广泛用于大型应用程序，其中的错误会影响内存的安全性，这是一个严重的漏洞。

• 输入无效

  在模糊测试中，模糊器用于生成无效输入，用于测试错误处理例程，这对于不控制其输入的软件很重要。简单的模糊测试可以被称为自动化负面测试（Negative Testing）的一种方法。

• 正确的错误

  模糊测试也可用于检测某些类型的“正确性”错误。如数据库损坏，搜索结果不佳等。

4  模糊测试实现过程

1) 找到一份待测试的可执行文件代码；2) 生成大量的测试用例（Fuzzed数据）找到输入点，然后把随机数据丢进去；3) 执行文件；4) 观察破坏了什么；5) 记录缺陷。

 

  

5  模糊测试的优缺点

好处

• 模糊测试改进了软件安全测试。

• 在模糊测试中发现的错误有时很严重，包括崩溃、内存泄漏、未处理的异常等。

• 如果由于时间和资源的限制，测试人员可能没有注意到的一些错误，那么在模糊测试中会发现。

缺点

• 仅靠模糊测试无法保证整体安全。

• 模糊测试在处理不会导致程序崩溃的安全威胁方面效果较差，例如某些病毒、蠕虫、特洛伊木马等。

• 模糊测试只能检测简单的故障或威胁。

• 要有效地执行，需要大量时间。

• 使用随机输入设置边界值条件是非常有问题的，但现在使用基于用户输入的确定性算法，大多数测试人员解决了这个问题。

二  SPDK iSCSI应用实例

1  被测对象

确定需要进行fuzz测试的文件代码。这里以spdk的lib/iscsi.c为被测对象。我们编写的fuzz app代码为spdk/test/app/fuzz/iscsi_fuzz/iscsi_fuzz.c。

2  了解iSCSI流程

iSCSI结构简介

iSCSI使用Client/Server模型。Target端即磁盘阵列或其他装有磁盘的主机。通过iSCSI Target工具将磁盘空间映射到网络上，initiator端就可以寻找发现并使用该磁盘。

Figure 1 给出了iSCSI结构里不同部分之间的关系。Figure 2 给出了iSCSI中数据传输的简单流程。

  Figure 1：iSCSI结构

 

  Figure 2：数据传输的简单流程

  

PDU（Protocol Data Units）是iSCSI交换数据最基本的单位，格式见Figure 3。

   Figure 3：iSCSI PDU的格式

其中，基本报文头BHS（Basic Header Segment）的格式见Figure 4。

  Figure 4：BHS的格式

接下来，我们要用大量的fuzz输入用例，来模拟填充PDU的主要数据结构，这里重点是填充BHS，以及其中的操作码（opcode）。各个操作码的意义见Figure5。

 代码里对BHS操作码的定义：

1.    enum iscsi_op {  
2.        /* Initiator opcodes */  
3.        ISCSI_OP_NOPOUT         = 0x00,  
4.        ISCSI_OP_SCSI           = 0x01,  
5.        ISCSI_OP_TASK           = 0x02,  
6.        ISCSI_OP_LOGIN          = 0x03,  
7.        ISCSI_OP_TEXT           = 0x04,  
8.        ISCSI_OP_SCSI_DATAOUT   = 0x05,  
9.        ISCSI_OP_LOGOUT         = 0x06,  
10.        ISCSI_OP_SNACK          = 0x10,  
11.        ISCSI_OP_VENDOR_1C      = 0x1c,  
12.        ISCSI_OP_VENDOR_1D      = 0x1d,  
13.        ISCSI_OP_VENDOR_1E      = 0x1e,  
14.      
15.        /* Target opcodes */  
16.        ISCSI_OP_NOPIN          = 0x20,  
17.        ISCSI_OP_SCSI_RSP       = 0x21,  
18.        ISCSI_OP_TASK_RSP       = 0x22,  
19.        ISCSI_OP_LOGIN_RSP      = 0x23,  
20.        ISCSI_OP_TEXT_RSP       = 0x24,  
21.        ISCSI_OP_SCSI_DATAIN    = 0x25,  
22.        ISCSI_OP_LOGOUT_RSP     = 0x26,  
23.        ISCSI_OP_R2T            = 0x31,  
24.        ISCSI_OP_ASYNC          = 0x32,  
25.        ISCSI_OP_VENDOR_3C      = 0x3c,  
26.        ISCSI_OP_VENDOR_3D      = 0x3d,  
27.        ISCSI_OP_VENDOR_3E      = 0x3e,  
28.        ISCSI_OP_REJECT         = 0x3f,  
29.    };  

  Figure 5：操作码的意义

3  生成fuzz数据

iSCSI主要的数据处理流程包括iscsi_pdu_hdr_handle( )和iscsi_pdu_payload_handle( )这两个函数。

iscsi_pdu_hdr_handle( )代码如下：

1.    static int  
2.    iscsi_pdu_hdr_handle(struct spdk_iscsi_conn *conn, struct spdk_iscsi_pdu *pdu)  
3.    {  
4.      
5.        if (opcode == ISCSI_OP_LOGIN) {  
6.            return iscsi_pdu_hdr_op_login(conn, pdu);  
7.        }  
8.      
9.        switch (opcode) {  
10.        case ISCSI_OP_NOPOUT:  
11.            rc = iscsi_pdu_hdr_op_nopout(conn, pdu);  
12.        case ISCSI_OP_SCSI:  
13.            rc = iscsi_pdu_hdr_op_scsi(conn, pdu);  
14.        case ISCSI_OP_TASK:  
15.            rc = iscsi_pdu_hdr_op_task(conn, pdu);  
16.        case ISCSI_OP_TEXT:  
17.            rc = iscsi_pdu_hdr_op_text(conn, pdu);  
18.        case ISCSI_OP_LOGOUT:  
19.            rc = iscsi_pdu_hdr_op_logout(conn, pdu);  
20.        case ISCSI_OP_SCSI_DATAOUT:  
21.            rc = iscsi_pdu_hdr_op_data(conn, pdu);  
22.        case ISCSI_OP_SNACK:  
23.            rc = iscsi_pdu_hdr_op_snack(conn, pdu);  
24.        default:  
25.            return iscsi_reject(conn, pdu, ISCSI_REASON_PROTOCOL_ERROR);  
26.        }  

 Fuzz的任务，就是来填充包含opcode的整个BHS结构体。

1.    struct iscsi_bhs {  
2.        uint8_t opcode      : 6;
3.        uint8_t immediate   : 1;  
4.        uint8_t reserved    : 1;  
5.        uint8_t flags;  
6.        uint8_t rsv[2];  
7.        uint8_t total_ahs_len;  
8.        uint8_t data_segment_len[3];  
9.        uint64_t lun;  
10.        uint32_t itt;  
11.        uint32_t ttt;  
12.        uint32_t stat_sn;  
13.        uint32_t exp_stat_sn;  
14.        uint32_t max_stat_sn;  
15.        uint8_t res3[12];  
16.    };  

Request消息，根据自身BHS的opcode来进入iscsi_pdu_hdr_handle( )不同的处理分支。

填充BHS的函数是prep_iscsi_pdu_bhs_opcode_cmd()，

1.    static void  
2.    prep_iscsi_pdu_bhs_opcode_cmd(struct fuzz_iscsi_dev_ctx *dev_ctx, struct fuzz_iscsi_io_ctx *io_ctx)  
3.    {  
4.        io_ctx->iov_ctx.iov_req.iov_len = sizeof(struct iscsi_bhs);  
5.        fuzz_fill_random_bytes((char *)io_ctx->req.bhs, sizeof(struct iscsi_bhs),  
6.                       &dev_ctx->random_seed);  
7.    }  

其中函数fuzz_fill_random_bytes( )，用来生成随机数据，填充BHS各个字段。

1.    static void  
2.    fuzz_fill_random_bytes(char *character_repr, size_t len, unsigned int *rand_seed)  
3.    {  
4.        size_t i;  
5.      
6.        for (i = 0; i < len; i++) {  
7.            character_repr[i] = rand_r(rand_seed) % UINT8_MAX;  //生成随机数据
8.        }  
9.    } 

不仅要填充bhs，还需要填充适量的PDU的数据结构。

1.    struct spdk_iscsi_pdu {  
2.        struct iscsi_bhs bhs;  
3.        struct spdk_mobj *mobj;  
4.        bool is_rejected;  
5.        uint8_t *data_buf;  
6.        uint8_t *data;  
7.        uint8_t header_digest[ISCSI_DIGEST_LEN];  
8.        uint8_t data_digest[ISCSI_DIGEST_LEN];  
9.        size_t data_segment_len;  
10.    ......  

 因为包处理是以PDU为对象的，缺少参数会导致意外的错误，第一步验证条件就被挡住了。所以，为了能深入尽可能多的分支，需要填充一些基本的PDU参数。

例如这样，

1.    req_pdu->writev_offset = 0;  
2.    req_pdu->hdigest_valid_bytes = 0;  
3.    req_pdu->ahs_valid_bytes = 0;  
4.    req_pdu->data_buf_len = 0;  

 同样是为了能深入尽可能多的分支，还需要重新指定一些基本的BHS参数。并且，需要对login这一特殊的的PDU进行单独地处理。

1.    if (opcode == ISCSI_OP_LOGIN) {  
2.        return iscsi_pdu_hdr_op_login(conn, pdu);  
3.    }  
4.    req_pdu->bhs.immediate = 1;  
5.    req_pdu->bhs.reserved = 0;  
6.    req_pdu->bhs_valid_bytes = ISCSI_BHS_LEN;  
7.    req_pdu->bhs.total_ahs_len = 0;  
8.    req_pdu->bhs.stat_sn = 0;  

4  执行结果

最开始的时候，initiator端发送的第一个包是login request，用以跟target端建立connection。成功后，从第二个开始就可以都是随机包了。如果没有建立connection的话，target端不会处理任何一个来自initiator的PDU包。

Received payload_handle response opcode from Target is 0x23.（这是target回过来的第一个response包，LOGIN_RSP）

 

   

无效包的处理，target端返回REJECT包。

例如：发出请求0x1e（无效包），返回响应0x3f（REJECT包）

   

有效包的处理，target端返回相应的response包。

例如：发出请求0x2（TASK），返回响应0x24（TASK_RSP）

 可以看出，结果是符合预期的。这里测试时间设定30秒。完成时，fuzz app模拟的initiator端一共向target端发送了17447个合法随机包，161259个非法随机包。

  具体执行参数，请参考shell脚本spdk/test/iscsi_tgt/fuzz/fuzz.sh。

5  通过fuzz发现的一个issue

例如在iscsi_reject()函数里，要把pdu->ahs指向的数据拷贝到data + data_len的地址。原先的代码没有考虑到多条路径过来的验证越界问题。即如果(4 * total_ahs_len)大于ISCSI_AHS_LEN时，源数据长度超过目标缓冲区长度，返回地址乱了，会导致Segmentation Fault的错误。

 Fuzz随机生成了一个比较狂野的bhs.total_ahs_len的值，超过了ISCSI_AHS_LEN的范围，暴露了这个问题。代码见Figure 6，绿底是修改后的。

 Figure 6：lib/iscsi.c

。。。。。。（省略1千字）

完整文章请看公众号该文原版：