libFuzzer是LLVM的覆盖率反馈驱动模糊测试工具，通过向C++程序输入随机数据并监控执行路径来发现内存错误和崩溃。它与编译器集成，运行于同一进程，速度快，需编写LLVMFuzzerTestOneInput函数接收字节流输入，并配合ASan等sanitizer检测异常。使用时应提供字典、限制输入长度、启用持久化语料库以提升效率，适用于解析器等场景。
模糊测试（Fuzz Testing）是一种自动化的软件测试技术，通过向程序输入大量随机或半随机的数据，来发现潜在的崩溃、内存泄漏、安全漏洞等问题。在C++开发中，使用libFuzzer进行模糊测试是一种高效且集成度高的方式，尤其适合检测解析器、序列化逻辑和核心算法中的问题。
什么是libFuzzer？
libFuzzer是LLVM项目的一部分，属于“基于覆盖率的本地fuzzer”。它与编译器深度集成，能在运行时收集代码覆盖率信息，并利用这些信息生成更有针对性的测试用例，从而更快地发现边界情况和异常路径。
它的主要优势包括：
- 速度快：测试过程在同一个进程中执行，无需频繁启动程序。
- 覆盖率反馈驱动：能智能探索新的代码路径。
- 易于集成：只需编写一个入口函数并链接libFuzzer即可。
如何为C++程序编写libFuzzer测试
要使用libFuzzer，你的目标函数必须接受一个字节缓冲区作为输入。libFuzzer会调用一个名为LLVMFuzzerTestOneInput的函数，传入数据指针和长度。
基本结构如下：
extern "C" int LLVMFuzzerTestOneInput(const uint8_t* data, size_t size) {
// 解析或处理 data 和 size
// 如果触发崩溃、断言失败、内存错误，fuzzer会记录该用例
return 0;
}
例如，假设你有一个解析字符串为整数的函数，并希望检测越界访问：
#include#include void parse_string(const char* str) { if (str[0] == 'A' && str[1] == 'B') { if (str[2] == 'C') { __builtin_trap(); // 模拟一个漏洞或异常行为 } } }
extern "C" int LLVMFuzzerTestOneInput(const uint8_t* data, size_t size) { if (size == 0) return 0; char buffer[4] = {0}; memcpy(buffer, data, size < 4 ? size : 3); // 故意限制复制长度防止溢出 parse_string(buffer); return 0; }
编译和运行fuzzer
你需要使用Clang编译器（通常为clang++），并启用地址 sanitizer（ASan）以捕获内存错误：
clang++ -fsanitize=fuzzer,address -g -o fuzzer_test fuzz_test.cpp
test fuzz_test.cpp
然后直接运行生成的可执行文件：
./fuzzer_test
libFuzzer会持续运行，打印当前进度，如：
- 已执行的测试次数
- 达到的新路径数
- 内存使用情况
如果发现崩溃，它会保存导致问题的输入到磁盘（默认为crash-*文件），你可以后续复现：
./fuzzer_test crash-*
提升fuzzer效率的技巧
让fuzzer更快找到问题，可以采取以下措施：
-
提供字典（Dictionary）：通过
-dict=your.dict参数指定关键字汇，比如协议关键字（"GET", "POST"）、类型标记等，帮助fuzzer更快构造有意义输入。 -
限制执行时间：使用
-max_len=128避免过长输入，或-timeout=2防止无限循环。 - 使用其他Sanitizer：结合UBSan（未定义行为）、MSan（内存未初始化）等进一步扩大检测范围。
-
持久化语料库：使用目录保存历史用例，加速下次测试：
./fuzzer_test corpus_dir/
基本上就这些。只要你的C++逻辑能接收原始字节输入，就可以用libFuzzer快速构建自动化探测机制。对于解析JSON、XML、二进制协议等场景特别有效。关键是写出稳定的LLVMFuzzerTestOneInput入口，并配合Sanitizer全面捕捉异常。不复杂但容易忽略细节，比如忘记开启ASan或没处理空输入。
