Fuzz 入门的练习路径

sanitizer 能把静默的越界读写变成可见崩溃，是 fuzz 的放大器

练逆向最怕「看了很多，一个都没做完」。

先说结论

练习要有终点，否则只是浏览。

• 目标：能说清结构
• 下一步：定位功能
• 再下一步：改行为
• 最后：写脚本
• 验证：种子语料的质量比变异策略更影响前期覆盖率，喂错种子等于白跑，语料要覆盖格式各分支，也要按格式分层

把目标拆小

每个练习都要有明确终点：

进程内 fuzz 每秒能跑上万次，fork 模式通常只有一千次左右，这个差距决定单位时间产出，能进程内就别 fork。

• 第一个：能说清一个程序的结构
• 第二个：能定位一个具体功能的位置
• 第三个：能改一处行为并验证
• 第四个：能写脚本自动化前三个

怎么验证

种子语料的质量比变异策略更影响前期覆盖率，喂错种子等于白跑，语料要覆盖格式各分支，也要按格式分层。

没有验证的练习，等于看视频。

几个具体练法

下面这些是相对确定的细节：

• 崩溃必须去重，同一个空指针解引用能产出几千条重复样本

卡住时怎么办

只跑一小时就下结论说没有漏洞，样本量远远不够。

卡住超过两天就换一个更小的目标，别硬耗。

一句实话

Fuzz 的产出不是崩溃数量，是覆盖率还能不能继续往上走。

能复现的进度才是进度。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 没有覆盖反馈的随机测试，命中深层路径的概率低到可以忽略，除非解析逻辑只有两三层分支，这类目标本来也少
• sanitizer 能把静默的越界读写变成可见崩溃，是 fuzz 的放大器
• 跑满 24 小时再看覆盖率曲线，前两个小时的结论通常不准，排期按天算而不是按小时
• 用生产数据当种子，把敏感信息带进语料库
• 不做去重，报告里几千条崩溃全是同一个

逆向是手艺，只能靠做完来学。