kAFL：操作系统内核的硬件辅助反馈模糊

几十年来，许多类型的内存安全漏洞一直在危害软件系统。在其他方法中，模糊化是一种很有前途的技术，可以揭示各种软件故障。最近，反馈引导的模糊化展示了它的威力，产生了一系列安全关键型软件错误。大多数模糊处理工作，尤其是反馈模糊处理，仅限于用户空间组件操作系统（OS）的错误，尽管内核组件更为严重，因为它们允许攻击者以完全权限访问系统。不幸的是，内核组件很难模糊化，因为反馈机制（即引导代码覆盖率）不容易应用。此外，由于中断、内核线程、状态和类似机制导致的非确定性也会带来问题。此外，如果一个进程模糊了它自己的内核，内核崩溃会严重影响模糊器的性能，因为操作系统需要重新启动。

在本文中，我们探讨了覆盖引导的核模糊化问题OS相关性和硬件辅助方式：我们使用虚拟机监控程序和Intel的处理器跟踪（PT）技术。这允许我们保持独立于目标操作系统，因为我们只需要一个与目标操作系统交互的小用户空间组件。因此，我们的方法几乎不会带来性能开销，即使在操作系统崩溃的情况下也是如此，并且在非现成笔记本电脑上每秒执行17000次。我们开发了一个名为内核AFL（kAFL）评估Linux、macOS和Windows内核组件的安全性。在众多崩溃中，我们发现了分机4Linux驱动程序HFS公司和APFS公司macOS的文件系统，以及NTFS格式Windows驱动程序。