<尚大教育,教育至上,人才为大:sdedu.cc>
模糊测试的优缺点
与代码审计、静态分析、模型检测等方法比,模糊测试有许多优点。第一,模糊测试不需要程序的源代码即可发现问题。第二,模糊测试不受限于被测系统的内部实现细节和复杂程度。例如,使用模糊测试可以不用关心被测对象的实现语言等细节。第三,使用模糊测试的可复用性较好,一个测试用例可适用于多种产品。
模糊测试有两个关键的操作:产生畸形数据和观察应用程序是否出现异常。但进行两个操作时存在如下问题:
首先,目前理论上还未出现能成熟、优化生成畸形数据的方式。现有的许多方法可操作性不强,如:若模糊器是以穷举方式产生各种可能的畸形协议数据组合,则无论是产生数据的时间还是对被测目标响应的检测时间将急剧增长,这使得检测费力且低效;如果模糊器是以随机方式产生畸形数据,则即使发现问题,也很难精确定位问题所在。
其次,需要有一个监控器观察应用程序是否出现异常。但是其使用什么方法来判断被测目标的响应是否异常,这些异常是否代表发现漏洞。
<尚大教育,教育至上,人才为大:sdedu.cc>