首页
/ LibAFL中覆盖率信息的获取与理解

LibAFL中覆盖率信息的获取与理解

2025-07-03 21:45:54作者:胡唯隽

在基于LibAFL进行模糊测试时,理解当前的代码覆盖率情况对于评估测试效果至关重要。本文将以forkserver_simple示例为基础,深入分析LibAFL中两种不同类型的覆盖率指标及其实现原理。

覆盖率监控基础

LibAFL通过SimpleMonitor组件可以方便地输出测试状态信息。在监控配置中,使用以下代码即可打印覆盖率相关信息:

let monitor = SimpleMonitor::with_user_monitor(|s| println!("{s}"));

该监控器会输出类似如下的信息:

[Objective #0] run time: 0h-0m-0s, clients: 1, corpus: 4, objectives: 1, executions: 0, exec/sec: 0.000, shared_mem: 8/64 (12%), mapfeedback_metadata_objective: 4/64 (6%)

两种覆盖率指标解析

LibAFL实际上维护了两套独立的覆盖率跟踪系统:

  1. 语料库覆盖率(Corpus Coverage)

    • 对应输出中的shared_mem字段
    • 实现方式:通过HitcountsMapObserver观察共享内存区域
    • 作用:跟踪所有用于后续模糊测试迭代的输入样本触发的边覆盖率
    • 特点:这是最接近传统模糊测试工具(如libFuzzer)的覆盖率概念
  2. 目标覆盖率(Objective Coverage)

    • 对应输出中的mapfeedback_metadata_objective字段
    • 实现方式:通过带有特定名称的MaxMapFeedback观察器
    • 作用:专门用于崩溃去重,仅记录触发新覆盖率的崩溃用例
    • 特点:确保不会保存覆盖率低于已有崩溃用例的新崩溃

技术实现细节

在底层实现上,这两种覆盖率都基于边覆盖率(edge coverage)概念:

// 基础覆盖率观察器配置
let edges_observer = unsafe {
    HitcountsMapObserver::new(StdMapObserver::new("shared_mem", shmem_buf)).track_indices()
};

// 目标覆盖率专用配置
let mut objective = feedback_and_fast!(
    CrashFeedback::new(),
    MaxMapFeedback::with_name("mapfeedback_metadata_objective", &edges_observer)
);

特殊场景处理

需要注意的是,当某个输入同时满足以下两个条件时:

  1. 触发了新的边覆盖率
  2. 导致了程序崩溃

此时shared_mem不会记录这次新触发的边覆盖率。这是设计上的有意为之,因为:

  • 崩溃用例通常不会被加入常规测试语料库
  • 保持语料库的稳定性比记录这种特殊情况更重要

最佳实践建议

对于大多数用户来说:

  • 关注shared_mem指标来评估整体覆盖率进展
  • 使用mapfeedback_metadata_objective主要作为崩溃去重的参考
  • 如需更详细的覆盖率分析,可以考虑实现自定义的监控组件

理解这两种覆盖率的区别和联系,可以帮助开发者更准确地评估模糊测试的效果,并做出相应的优化决策。

登录后查看全文
热门项目推荐
相关项目推荐