xml - ファズテスト XML パーサー

Question

XML パーサーのファズ テストを行い、適切なファザーがあるかどうかを知りたいと考えています。
ランダムなガベージを生成するだけでなく、XSD や DTD などの既存のスキーマ仕様を利用できると便利です。

Answer 1

以下は、数か月前の検索で偶然見つけた XML ファザーです。

• だらしない。これは、2007 年の最後の更新で、活発に開発されているようには見えません。 Peach-3.1 Community Editionソースにはまったく表示されなくなりました
• ファズウェア。XSD ベースのファジングを適切にサポートしているようです。
• 桃。Peach ファザー プロジェクトは、有効な XML ファイルを生成するのに役立ちますが、パーサーを使用してアプリケーションではなくパーサーをファジングしたい場合は、おそらくあまり役​​に立ちません。確かに試してみる価値はありますが、XML のさまざまな構造を認識していない場合、データ モデルの作成は面倒なプロセスになる可能性があることに注意してください。関連プロジェクトHotFuzzもここで言及する価値があります。
• Jブロファズ。これは非常に積極的に開発されています。XML (および SOAP) のファジング機能について説明しているチュートリアルは見つかりませんでした。単独でファジング ライブラリとして使用できるという事実に助けられるかもしれません。
• XML の Codenomicon Defensics。これは商用ファザーです。免責事項: 私は過去に Defensics を評価しており、さまざまな目的に適していることがわかりました。XML パーサーだけでも、さまざまな手法を使用してファジングできます。ファザーによって生成されたファイルをフィードしたり、HTTP 要求を発行したりできます。パーサーの代わりにアプリケーションをファジングする必要がある場合は、別のアプローチを使用する必要があることに注意してください。 ; Defensics は、ファズ入力に必要なさまざまなクラスの入力を選択するのに役立ちます。これにより、パーサー、アプリケーション、またはその両方をターゲットにすることができます。

Answer 2

これは「ガベージ ジェネレーター」と思われるかもしれませんが、とにかく調べてみてください。

Oulu University Secure Programming GroupのRadamsaは、無料の汎用ファザーです。本当に簡単にファジングできます。いくつかのサンプル ファイルを指定すると、Radamsa がファジング ファイルを生成します。

含まれているさまざまなファザーは、単純なビット フリップから複雑な構造の学習とファジングまで実行できます。

コードはGoogle Codeから見つけることができます。