LibAFL中覆盖率信息的获取与理解

在基于LibAFL进行模糊测试时，理解当前的代码覆盖率情况对于评估测试效果至关重要。本文将以forkserver_simple示例为基础，深入分析LibAFL中两种不同类型的覆盖率指标及其实现原理。

覆盖率监控基础

LibAFL通过SimpleMonitor组件可以方便地输出测试状态信息。在监控配置中，使用以下代码即可打印覆盖率相关信息：

let monitor = SimpleMonitor::with_user_monitor(|s| println!("{s}"));

该监控器会输出类似如下的信息：

[Objective #0] run time: 0h-0m-0s, clients: 1, corpus: 4, objectives: 1, executions: 0, exec/sec: 0.000, shared_mem: 8/64 (12%), mapfeedback_metadata_objective: 4/64 (6%)

两种覆盖率指标解析

LibAFL实际上维护了两套独立的覆盖率跟踪系统：

1. 语料库覆盖率（Corpus Coverage）

   • 对应输出中的shared_mem字段
   • 实现方式：通过HitcountsMapObserver观察共享内存区域
   • 作用：跟踪所有用于后续模糊测试迭代的输入样本触发的边覆盖率
   • 特点：这是最接近传统模糊测试工具（如libFuzzer）的覆盖率概念

2. 目标覆盖率（Objective Coverage）

   • 对应输出中的mapfeedback_metadata_objective字段
   • 实现方式：通过带有特定名称的MaxMapFeedback观察器
   • 作用：专门用于崩溃去重，仅记录触发新覆盖率的崩溃用例
   • 特点：确保不会保存覆盖率低于已有崩溃用例的新崩溃

技术实现细节

在底层实现上，这两种覆盖率都基于边覆盖率（edge coverage）概念：

// 基础覆盖率观察器配置
let edges_observer = unsafe {
    HitcountsMapObserver::new(StdMapObserver::new("shared_mem", shmem_buf)).track_indices()
};

// 目标覆盖率专用配置
let mut objective = feedback_and_fast!(
    CrashFeedback::new(),
    MaxMapFeedback::with_name("mapfeedback_metadata_objective", &edges_observer)
);

特殊场景处理

需要注意的是，当某个输入同时满足以下两个条件时：

1. 触发了新的边覆盖率
2. 导致了程序崩溃

此时shared_mem不会记录这次新触发的边覆盖率。这是设计上的有意为之，因为：

• 崩溃用例通常不会被加入常规测试语料库
• 保持语料库的稳定性比记录这种特殊情况更重要

最佳实践建议

对于大多数用户来说：

• 关注shared_mem指标来评估整体覆盖率进展
• 使用mapfeedback_metadata_objective主要作为崩溃去重的参考
• 如需更详细的覆盖率分析，可以考虑实现自定义的监控组件

理解这两种覆盖率的区别和联系，可以帮助开发者更准确地评估模糊测试的效果，并做出相应的优化决策。