uniFuzzer
uniFuzzer是一款基于Unicorn和LibFuzzer的闭源模糊测试工具，该工具当前支持对ARM/MIPS架构的32位LSB ELF文件进行模糊测试，而这样的系统架构和平台一般常见于物联网设备上。因此，广大研究人员可以利用uniFuzzer来对物联网设备进行模糊测试。
背景知识
Unicorn
提到Unicorn，就不得不说起QEMU。QEMU是一款开源的虚拟机，可以模拟运行多种CPU架构的程序或系统。而Unicorn正是基于QEMU，它提取了QEMU中与CPU模拟相关的核心代码，并在外层进行了包装，提供了多种语言的API接口。
因此，Unicorn的优点很明显。相比QEMU来说，用户可以通过丰富的接口，灵活地调用CPU模拟功能，对任意代码片段进行模拟执行。不过，我们在使用过程中，也发现Unicorn存在了一些不足，最主要的就是Unicorn其实还不是很稳定、完善，存在了大量的坑（可以看Github上的issue），而且似乎作者也没有短期内要填完这些坑的打算。另一方面，由于还有较多的坑，导致Unicorn底层QEMU代码的更新似乎也没有纳入计划：Unicorn最新的release是2017年的1.0.1版本，这是基于QEMU 2的，然而今年QEMU已经发布到QEMU 4了。
不过，虽然存在着坑比较多、QEMU版本比较旧的问题，对我们的模拟执行fuzzing来说其实还好。前者可以在使用过程中用一些临时方法先填上（后面会举一个例子）。后者的影响主要是不支持一些新的架构和指令，这对于许多IoT设备来说问题并不大；而旧版本QEMU存在的安全漏洞，主要也是和驱动相关，而Unicorn并没有包含QEMU的驱动，所以基本不受这些漏洞的影响。
QEMU
关于QEMU的CPU模拟原理，读者可以在网上搜到一些专门的介绍，例如这篇。大致来说，QEMU是通过引入一层中间语言，TCG，来实现在主机上模拟执行不同架构的代码。例如，如果在x86服务器上模拟MIPS的代码，QEMU会先以基本块（Basic Block）为单位，将MIPS指令经由TCG这一层翻译成x86代码，得到TB(Translation Block)，最终在主机上执行。
而为了提高模拟运行的效率，QEMU还加入了TB缓存和链接机制。通过缓存翻译完成的TB，减少了下次执行时的翻译开销，这即就是Unicorn所说的JIT。而TB链接机制，则是把原始代码基本块之间的跳转关系，映射到TB之间，从而尽可能地减少了查找缓存的次数和相关的上下文切换。
值得一提的是，Unicorn所提供的hook功能，就是在目标代码翻译成TCG时，插入相关的TCG指令，从而在最终翻译得到的TB中，于指定位置处回调hook函数。而由于TCG指令和架构无关，因此添加的TCG指令可以直接适用于不同架构。
LibFuzzer
LibFuzzer应该许多人都不陌生，这是LLVM项目中内置的一款fuzzing工具，相比我们之前介绍过的AFL，LibFuzzer具有以下优点：
1. 灵活：通过实现接口的方式使用，可以对任意函数进行fuzzing
2. 高效：在同一进程中进行fuzzing，无需大量fork()进程
3. 便捷：提供了API接口，便于定制化和集成
而且，和AFL一样，LibFuzzer也是基于代码覆盖率来引导变异输入的，因此fuzzing的效率很高。不过，这两者都需要通过编译时插桩的方式，来实现代码覆盖率的跟踪，所以必须要有目标的源代码。接下来，在uniFuzzer的原理中，我们会介绍如何结合Unicorn和LibFuzzer的功能，对闭源程序进行代码覆盖率的跟踪反馈。
功能介绍
1、项目构建方便，简而易用；
2、可针对指定函数或代码段进行模糊测试；
3、使用了基于代码覆盖的模糊测试算法，效率可观；
4、依赖自解析和加载自动化；
5、通过PRELOAD覆盖库函数；
工具下载
广大用户可以使用git命令直接从该项目的GitHub库拷贝至本地：
项目构建
1、对目标代码进行逆向分析，并寻找目标函数进行模糊测试；
2、在callback目录中创建一个.c文件，其中需包含下列回调：
void onLibLoad(const char *libName, void *baseAddr, void *ucBaseAddr)：每当独立库加载进Unicorn时，便会调用该方法。
int uniFuzzerInit(uc_engine *uc)：在Unicorn加载完所有的源码之后，便会调用这个方法，堆、栈和寄存器均在这里设置。
int uniFuzzerBeforeExec(ucengine *uc, const uint8t *data, size_t len)：在每轮模糊测试执行之前该方法都会被调用。
int uniFuzzerAfterExec(uc_engine *uc)：在每轮模糊测试执行之后该方法都会被调用。
3、运行make命令，并获取uf模糊测试工具；
工具运行
uniFuzzer使用了下列环境变量作为参数：
UF_TARGET：目标ELF文件的路径；
UF_PRELOAD：预加载库的路径，请确保目标代码库的架构跟目标设备相同；
UF_LIBPATH：所要使用的依赖库路径，使用“:”作为多个路径的分隔符；
广大研究人员可以使用下列命令开始对目标设备进行模糊测试：
UF_TARGET=<target> [UF_PRELOAD=<preload>] UF_LIBPATH=<libPath> ./uf
工具演示
下面给出的是该工具的一些基础演示样例，demo中包含下列文件：
1、demo-vuln.c：这个文件是模糊测试的测试目标，其中包含一个名为vuln()的简单函数，该函数存在堆栈溢出漏洞。
2、demo-libcpreload.c：该文件用于设置PRELOAD钩子，它定义了一个空的printf()函数以及一个简化了的malloc()/free()函数。
3、callback/demo-callback.c：为了对demo中的vuln()函数进行模糊测试，该文件定义了一些必要的回调函数。
首先，为mipsel安装gcc（Debian平台：gcc-mipsel-linux-gnu包）以构建demo：
mipsel-linux-gnu-gcc demo-vuln.c -Xlinker mipsel-linux-gnu-gcc -shared -fPIC -nostdlib -Xlinker
或者，你也可以使用文件demo-vuln和demo-libcpreload.so，同样可以使用上述命令编译。
接下来，使用make命令构建uniFuzzer，如果你自行编译了MIPS demo，那么某些地址可能会跟我们提供给大家的预编译demo有些不同，我们需要相应地更新demo-callback.c中的参数。
最后，确保MIPS的libc库已配置完毕。在Debian平台上，安装完成libc6-mipsel-cross包后，libc库就可以在/usr/mipsel-linux-gnu/lib/中找到了。此时的UF_LIBPATH值应为：
UF_TARGET=<path to demo-vuln> UF_PRELOAD=<path to demo-libcpreload.so> UF_LIBPATH=<lib path for MIPS> ./uf
项目地址
https://github.com/PAGalaxyLab/uniFuzzer
*参考来源：PAGalaxyLab，FB小编Alpha_h4ck编译，转载请注明来自FreeBuf.COM
