针对模糊测试工具漏洞挖掘能力的集成化评估方法及装置制造方法及图纸

本发明专利技术公开了一种针对模糊测试工具漏洞挖掘能力的集成化评估方法及装置，包括：将n种模糊测试工具与m种测试程序集交叉配对，抓取参考数据和目标值；以目标值作为监督数据，利用参考数据进行训练，得到评估模型；将待测模糊测试工具与p种测试程序集交叉配对后，将相应参考数据输入评估模型，生成评估报告。本发明专利技术能够进行正向的自我成长，解决了模糊测试领域中众多评价方法中存在的主观性强，科学性差，适用范围局限等问题，提供在提高模糊测试工具的漏洞挖掘能力方面的指导性和建设性意见。见。见。

【技术实现步骤摘要】
针对模糊测试工具漏洞挖掘能力的集成化评估方法及装置


[0001]本专利技术属于计算机安全领域，具体涉及一种针对模糊测试工具漏洞挖掘能力的集成化评估方法及装置。

技术介绍

[0002]近年来，在漏洞挖掘领域，模糊测试工具发展迅猛。相比于其他漏洞挖掘工具，如SMT解算器、符号执行、静态分析，模糊测试表现优秀。模糊测试的基本方法论相对其他方法较为简单：循环并随机地生成程序输入端数据，将其不断向目标测试程序的输入接口传递，通过被测程序的运行表现和结果，挖掘潜在漏洞。例如，AFL是一款由美国谷歌开发的模糊测试工具。将AFL和符号执行应用于同一被测程序集,包括base64,md5sum,uniq,who,sqlite3,libtiff。最终，二十四小时内AFL找到的比符号执行发现的平均漏洞个数多76％。
[0003]随着模糊测试在评估和检测软件重要安全性漏洞上取得了重大的成功，不仅学术届的模糊测试工具的开发和研究方兴未艾，而且在工业届的软件开发测试当中，模糊测试也被广泛部署。简单的理念却有非凡的效果，极高的理论到实际的可实现度，都是学术界和工业界的本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种针对模糊测试工具漏洞挖掘能力的集成化评估方法，其步骤包括：1)将n种模糊测试工具与m种测试程序集交叉配对，抓取参考数据和目标值；2)以目标值作为监督数据，利用参考数据进行训练，得到评估模型；3)将待测模糊测试工具与p种测试程序集交叉配对后，将相应参考数据输入评估模型，生成评估报告。2.如权利要求1所述的方法，其特征在于，模糊测试工具包括：OSS
‑
FUZZ、Honggfuzz、Syzkaller、Awesome Fuzzing、Raccoon、AFL、AFLplusplus、Memlock、TriforceAFL、Vuzzer、MOPT
‑
AFL、CollAFL、Hypothesis、Clusterfuzz、AFL.rs、Paramspider、Fuzzit、Peach Fuzzer、Dharma和Uafuzz中的一种或多种；测试程序集包括：magma、LAVA、LAVA
‑
M、CGC和FTS中的一种或多种。3.如权利要求1所述的方法，其特征在于，参考数据包括：刚性结构值和韧性架构值。4.如权利要求3所述的方法，其特征在于，所述刚性结构值包括：块覆盖率、边覆盖率、触发崩溃数、特有崩溃数、漏洞到达率、漏洞触发率、漏洞检测率、触发崩溃数、漏洞挖掘准确率和崩溃输入产生率；所述韧性架构值包括：代码处理方法深度、初始集适应度、白灰黑属性、部署消耗、便利性、稳定性、真值完整性、去重复化机制质量、结构分析法质量和运行监控质量；所述目标值包括：漏洞发掘率。5.如权利要求1所述的方法，其特征在于，利用参考数据进行训练之间，对参考数据进行预处理：1)依据数据的类型，对参考数据分类；2)对韧性架构值进行聚类，得到各韧性架构值相应的分级化韧性架构值；将刚性结构值进行归一化处理，并利用可信区间对归一化数据的特征值进行过滤后，得到归一化刚性结构值；3)基于分级化韧性架构值及归一化刚性结构值，生成预处理后的参考数据。6.如权利要求5所述的方法，其特征在于，所述评估模型包括：分类模型和回归模型，其中将分级化韧性架构值送入分类模型，归一化刚性结构值送入回归模型。7.如权利要求5所述的方法，其特征...

【专利技术属性】
技术研发人员：芮志清，周昊，吴敬征，罗天悦，武延军，
申请(专利权)人：中国科学院软件研究所，
类型：发明
国别省市：