FirmAFL使用并改进了Firmdyne模拟方式，并利用AFL对IoT固件实施高通量灰盒Fuzzing。
一、项目简介
FIRM-AFL 是 第一个针对物联网固件的高吞吐量灰盒模糊测试器。 支持mipsel、mipseb和armel三种CPU架构 ，涵盖Firmadyne数据库中90.2%的固件。
FIRM-AFL 解决了物联网固件模糊测试的两个基本问题：
- 解决了兼容性问题：它通过启用 posix 兼容固件的模糊处理来解决兼容性问题，这些固件可以在系统仿真器中仿真；
- 解决了性能瓶颈：采用“ 增强进程仿真”技术解决了系统模式仿真造成的性能瓶颈。通过将 系统模式仿真 (高通用性、低效率)与 用户模式仿真 (低通用性、高效率)相结合，增强的进程仿真作为系统模式仿真提供了高兼容性，作为用户模式仿真提供了高吞吐量。
要模糊测试的程序主要运行在用户模式仿真，以实现高效率。只有在必要时切换到全系统仿真，以确保程序的正确执行，从而实现通用性。
FIRM-AFL基于AFL和Firmadyne实现，其中AFL负责对物联网固件中用户指定的程序进行覆盖引导模糊测试，就像使用AFL对普通用户级程序进行模糊测试一样，Firmadyne负责用户模式仿真和全系统仿真之间的切换，以确保给定的程序能够被正确地仿真。
我们设计并实现了FIRM-AFL，这是AFL的增强功能，用于模糊化物联网固件。我们 保持 AFL 的工作流程不变，并将用户模式 QEMU 替换为增强的流程仿真，其余组件保持不变。新的工作流如图 所示：
二、用法
先安装依赖：
sudo apt -get install git
sudo apt -get install binutils -dev
sudo apt -get install -y libsdl1 .2 -dev zlib1g -dev libglib2 .0 -dev libbfd -dev build -essential binutils qemu libboost -dev git libtool autoconf xorg -dev
1 、获取项目
cd /home/zhang/Desktop/
git clone https :// github . com / zyw - 200 / FirmAFL . git
2 、编辑用户模式
cd ./FirmAFL /user_mode /
./configure --target -list =mipsel -linux -user ,mips -linux -user ,arm -linux -user --static --disable -werror
make
3 、编译系统模式
cd ../qemu_mode /DECAF_qemu_2.10 /
./configure --target -list =mipsel -softmmu ,mips -softmmu ,arm -softmmu --disable -werror
make
4、安装Firmadyne
cd ../../ # 即在 FirmAFL/目录下
sudo apt -get install busybox -static fakeroot git dmsetup kpartx netcat -openbsd nmap python -psycopg2 python3 -psycopg2 snmp uml -utilities util -linux vlan
git clone --recursive https ://github .com /firmadyne /firmadyne .git
5、安装binwalk
git clone https ://github .com /devttys0 /binwalk .git # 在 FirmAFL/目录下
cd binwalk
sudo ./deps .sh
sudo python ./setup .py install
6、 编译Firmadyne数据库（自行设置数据库密码）
cd ../firmadyne
sudo apt -get install -y postgresql
sudo service postgresql start
sudo service postgresql status
# 用户的密码设置为： firmadyne
sudo -u postgres createuser -P firmadyne 安装postgres后状态不对 等价于 sudo -u postgres psql -c "create role firmadyne with login password 'firmadyne';"
sudo -u postgres createdb -O firmadyne firmware # 创建数据库firmware
准备好 data.xz数据：
data.xz_免费高速下载|百度网盘-分享无限制 (baidu.com)
cd database
cp /home /zhang /Downloads /data .xz ./ # 此处data.xz的路径请自行更改
xz -d data .xz
mv data schema
chmod +x schema
sudo -u postgres psql -d firmware < ./schema
7、 使用Firmadyne仿真固件
7.1、进入Firmadyne目录，然后打开firmadyne .config， 修改 FIRMWARE_DIR 的路径为当前 Firmadyne 目录的绝对路径
vi ../firmadyne/ firmadyne . config
# 以下为 firmadyne.config 中的内容
# uncomment and specify full path to FIRMADYNE repository
FIRMWARE_DIR = /home/zhang/Desktop/FirmAFL/firmadyne/
# specify full paths to other directories
BINARY_DIR = ${FIRMWARE_DIR} /binaries /
TARBALL_DIR = ${FIRMWARE_DIR} /images /
SCRATCH_DIR = ${FIRMWARE_DIR} /scratch /
SCRIPT_DIR = ${FIRMWARE_DIR} /scripts /
# functions to safely compute other paths
... ...
7.2、要为所有组件下载我们预先构建的二进制文件
sh ./download .sh # 开启外网或者手工下载放到 firmadyne/binaries/目录下
7.3、 将 scripts/makeImage.sh 替换为 FirmAFL/firmadyne_modify/下的 makeImage . sh
cp ../firmadyne_modify /makeImage .sh ./scripts /
7.5、使用extractor提取filesystem
- - nk：no kernel，不提取内核；
- - np：no parallel operation，没有并行操作；
- - sql： SQL服务器的主机名 ；
- - b： 固件镜像的品牌 ；
- Images：存储压缩文件在images .
# extractor . py中的头部修改为 python3
sudo ./sources /extractor /extractor .py -b dlink -sql 127.0.0.1 -np -nk "../firmware/DIR-815_FIRMWARE_1.01.ZIP" images
提取后的文件如下：
此时数据库： psql -U firmadyne -h127.0.0.1 -p5432 -dfirmware
7.6、识别固件的架构并将结果存储在数据库的表中
sudo ./scripts /getArch .sh ./images /9050.tar.gz
此时数据库：
7.7、创建编号为9050的固件的qemu镜像
sudo ./scripts /makeImage .sh 9050
生成镜像：
/home/zhang/Desktop/FirmAFL/firmadyne//scratch//9050//image/：
/home/zhang/Desktop/FirmAFL/firmadyne//../image_9050：
7.8、指定固件的网络配置并将信息记录到 ./scratch/1/qemu.initial.serial.log
sudo ./scripts /inferNetwork .sh 9050
7.9、FirmAFL准备工作
cd ../
python3 FirmAFL_setup.py 9050 mipsel # 会在 FirmAFL/image_9050/目录下生成一些文件
8、替换run.sh
>>> 因为这个固件是项目示例，可以按照如下方法操作替换run.sh：
cp ./FirmAFL_config / 9050 /run .sh ./image_9050 / # 即用FirmAFL_config中的run.sh替换image_9050中的run.sh
两者的区别在于：
>>> 若固件不是项目示例，则直接在FirmAFL /image_id /run .sh修改，以便使用我们修改后的 QEMU 和内核来模拟固件，并在 RAM 文件上运行。
For mipsel ,
ARCH=mipsel
QEMU="./qemu-system-${ARCH}"
KERNEL="./vmlinux.${ARCH}_3.2.1"
IMAGE="./image.raw"
MEM_FILE="./mem_file"
${QEMU} -m 256 -mem-prealloc -mem-path ${MEM_FILE} -M ${QEMU_MACHINE} -kernel ${KERNEL} \ For mipseb ,
ARCH=mips
QEMU="./qemu-system-${ARCH}"
KERNEL="./vmlinux.${ARCH}_3.2.1"
IMAGE="./image.raw"
MEM_FILE="./mem_file"
${QEMU} -m 256 -mem-prealloc -mem-path ${MEM_FILE} -M ${QEMU_MACHINE} -kernel ${KERNEL} \ 9、运行模糊测试过程
运行 start.py 脚本后，FirmAFL将启动固件仿真，系统初始化（120s）后，将开始模糊测试过程。（也许你应该使用 root 权限来运行它。
cd image_9050
python3 start .py 9050
执行遇到错误：
参考： QEMU Segmentation fault when I run the example · Issue #47 · zyw-200/FirmAFL (github.com)
意思是对/home/zhang/Desktop/FirmAFL/qemu_mode/DECAF_qemu_2.10/shared/vmi.cpp中的391行注释掉，再重新 编译系统模式
最终结果：
三、参考
https://github.com/zyw-200/FirmAFL
IoT固件Rehosting综述 - FreeBuf网络安全行业门户
[翻译]Firm-AFL：高效的IOT固件灰盒fuzz-智能设备-看雪-安全社区|安全招聘|kanxue.com
FIRM-AFL: 通过增强进程仿真实现物联网固件的高吞吐量灰盒模糊测试_固件模糊测试_寂寞烟火~的博客-CSDN博客
论文FirmAFL固件模糊测试工具——复现之路_h0_yang的博客-CSDN博客
