探索未来：Rewind - 高效的Windows内核组件模糊测试工具

项目介绍

Rewind是一款以快照为基础、覆盖率指导的模糊测试工具，专注于Windows内核组件的测试。它基于虚拟化技术，能够创建和恢复系统状态，实现快速高效的函数追踪与模糊测试。该工具支持WHVP（Windows Hypervisor Platform）和Bochs两种后端，并且正在开发KVM支持。

项目技术分析

Rewind的核心理念是利用系统运行时的内存快照，通过设置虚拟CPU的状态来执行目标函数。通过按需分页，只从快照中加载执行目标函数所需的页面，从而实现高效复原。其特点包括：

• WHVP后端 利用Windows Hypervisor Platform API直接控制Hyper-V分区。
• Bochs后端 借助Bochs模拟器在Linux上运行。
• TUI界面 提供终端用户界面，显示有关模糊测试的重要信息。

Rewind提供了两种主要功能：

1. 跟踪任意函数的执行路径。
2. 对任意函数进行模糊测试。

通过Windbg产生的系统崩溃转储文件作为快照来源，Rewind能在保留原始系统状态的同时，快速恢复并执行或调试。

项目及技术应用场景

Rewind适用于以下场景：

• 内核漏洞研究：简化动态分析过程，减少重复的调试、重启操作。
• 模糊测试：快速构建测试环境，针对特定函数进行大量输入测试，发现潜在安全漏洞。
• 性能评估：通过跟踪与复现执行，评估特定代码段的性能和行为。

项目特点

• 高速复原：由于仅加载必要的物理内存页面，恢复系统状态的速度非常快。
• 多后端支持：适配WHVP、Bochs，并计划支持KVM，适用于不同平台的测试需求。
• TUI监控：实时展示模糊测试结果，便于了解测试进度。
• 灵活的覆盖模式：提供精确的指令级跟踪（较慢）和首次执行检测（较快）两种模式。

该项目源于对Windows内核动态分析的实践需求，已在SSTIC 2020会议上展示，且源码已开源。其强大功能使得开发者能够在复杂的内核环境中轻松进行调试和模糊测试，显著提升工作效率。

要开始使用Rewind，请按照项目README中的指示安装依赖并编译项目。一个基本的示例教程位于examples/CVE-2020-17087目录下，可帮助您快速掌握其用法。

目前，Rewind尚处在早期开发阶段，可能存在一些限制和问题，但随着不断迭代更新，将为Windows内核的安全研究带来更加高效便捷的工具。