28、IoT应用安全测试中两种模糊测试方法的评估与应用

IoT应用安全测试中两种模糊测试方法的评估与应用

1. 引言

如今，网络攻击几乎针对我们所有的数字基础设施和服务，涵盖银行、云计算、大数据分析平台，以及Windows和Mac机器、移动设备等。分布式拒绝服务攻击、恶意软件、勒索软件攻击和僵尸网络，加上不断增加的软硬件漏洞，使得安全成为包括物联网（IoT）在内的新技术广泛部署的重大障碍。

在物联网领域，软件漏洞和安全缺陷往往在软件发布后才被发现，这使运行此类易受攻击应用程序的设备面临安全威胁。物联网应用程序的漏洞可能会使整个网络暴露给攻击者，造成重大损失。虽然为保障物联网环境安全提出了一系列技术，但软件缺陷仍然是物联网安全问题的主要根源。

模糊测试是一种用于发现特定软件中漏洞的技术。通过向目标软件提供随机和无效输入，我们可以监测软件的行为异常，如崩溃或拒绝服务，并记录导致崩溃的输入数据，以调查程序堆栈中导致应用程序故障的确切数据位置。这种过程通常会使用不同的数据类型重复进行，以发现软件中的缺陷。

模糊测试作为一种在软件部署前快速且经济高效的方法，能够揭示软件中的漏洞和安全缺陷，因此非常适合在程序发布前发现潜在的漏洞。它是一个自动化过程，需要最少的监督，适合在没有访问源代码或不了解编写应用程序的高级编程语言的情况下测试软件。

本研究使用了FileFuzz和Peachfuzz这两种代表主要模糊测试方法的工具，以确定最有效的方法，并探讨如何改进模糊测试过程以提高效率。

2. 背景

2.1 模糊测试

模糊测试是一种软件测试技术，通过自动注入随机生成的输入来发现安全漏洞。模糊测试程序可用于测试计算机系统或设备上运行的应用程序，通过提供意