本文介绍一下如何用蒜挖掘软件漏洞，先说介绍。

大蒜：未知文件格式/协议全自动分析软件。  输出的结果支持peachfuzzer和二蒜的智能fuzz。

二蒜：基于大蒜的二进制漏洞挖掘软件。最大支持64M的样本，在10M以上的样本启动速度是peachfuzzer的100倍。

变异效果或比peachfuzzer更优秀。

三蒜：基于动态分析的漏洞挖掘软件。可简单的实现代码覆盖率。利用生物遗传等算法进行漏洞挖掘。

下面，我们用一个例子来演示3者是如何使用的

1确定目标和样本

我们选择Irfanview(32位）和PNG格式作为例子

目前暂不支持64位程序。

说明：我这里目的只是为了说明蒜的使用方法。PNG并不是最佳的格式样本。如何确定目标选择样本，请参考文件格式漏洞挖掘指南b6dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8V1I4s2k6X3#2p5N6V1g2V1h3f1g2K9e0q4)9J5k6s2S2Q4x3X3c8U0K9f1k6J5L8p5&6Y4

2用大蒜分析

二蒜运行以来FF文件。用大蒜输出FF文件。

（大蒜也可以输出PIT文件，供PEACH使用）

创建路径记住生成路径

载入样本，分析，然后选择保存FF文件。

注意这2个文件。二蒜我们需要他们。

3用二蒜生成样本

1确定输入信息

打开二蒜，输入大蒜输出的2个文件路径和被测试程序。点击“确定输入信息”

2FUZZ配置

点击”[2]Fuzz配置”，输入必要的信息。这里我们选择默认。

如果打开深度学习，则下一步选择[3]进行学习测试，这里我们选择不打开。

3深度学习

这里我们不进行深度学习。如果需要进行，选择深度学习即可（注：这里的深度学习不等于传统的深度学习）。

深度学习的意义：

二蒜根据运行程序时窗口反馈信息，来对大蒜静态分析的算法进行深度优化，升级。从而提高效率。

4设置FUZZ方案

这里我们选择1%方案。

5生成样本

选择开始工作生成样本，时间问题，我们这里只生成2000个样本。

样本生成完毕，为了方便后续查找，我移动到比较明显的路径C:\SamplePNG。

4 三蒜单独测试

确定函数断点表

用反汇编工具分析目标程序，在反汇编工具函数窗口（很多反汇编工具都有这个功能）直接复制目标程序的函数，然后粘贴在txt或者excel里面，进行简单的格式整理，输出我们想要的格式。这个过程大概需要30秒。

三蒜最多支持65535个断点表。对于这个目标，我本次只分析主程序，共计约2579个。直接输入编辑框点击确定就行。如果数量太多，则把断点表放在txt里面，点击读取文件数据。

自动排查无效断点表

因为有一些断点是无效的，或者说会干扰程序正常运行的，所以这里需要让程序分析学习。自动去掉无效断点。

输入单个测试时间（MS），输入测试的CMD(程序 + 普通样本）即可。

如果样本多，可以输入样本文件夹进行测试，这种方式分析的更全面一些。

点击确定，自动排查。这个程序没有不匹配的断点，不需要排查。

断点表的保存和载入

最下面可以保存断点表，下次输入模块地址可自动载入。

三蒜单独测试【无遗传算法】

输入参数，选择Fuzzing。开启Fuzz之旅。如果发现异常，定位判断分析即可。

二蒜三蒜联合模式测试【有遗传算法】

该模式原理

1对于一个样本，进行fuzzeing对发现路径状态进行探测，如果发现新路径，则对该样本进行保存，形成下一代样本。 保存样本的同时，生成对应的FF文件进行保存。

2 当第一代样本连续指定测试次数后没有发现新样本，则当代寿命结束，然后自动对下一代样本进行fuzzing。

（你可以通过配置文件生成每一代的寿命值 软件也会根据这一代的繁殖情况，自动修改当前寿命值）

3 以此类推，当所有的代数寿命都结束，测试终止。

这样 生成很多代，只要测试用例足够，变异策略足够强。样本就可以不停的变异。就像如何从一个母猴子变成一个美少女.

其中三蒜负责动态分析，监测发现路径数等等。二蒜根据三蒜反馈的信息，进行不同策略的样本生成，变异等。

三蒜生成配置文件

每一次测试都需要三蒜生成配置文件，生成配置文件之前要先输入断点表。前面已经阐述。这里不再阐述。

打开二蒜配置并挖掘。

输入配置信息，点击[1]确定输入信息 [2]FUZZ配置

设置必要的参数

回到主窗口 点击【4】设置FUZZ方案  这里选择1%方案

点击【5】开始工作。

篇幅有限，就介绍这么多。更多功能，慢慢挖掘吧。

附录

IFFA的使用姿势（绿色）

三头蒜定位

蒜可以挖什么

几乎所有文件格式/协议都可以搞。尤其是未知的文件格式效果非常好。

比如：www.asm64.com/file.html

二蒜效果

二蒜对标是价值1亿美金的漂亮国的pe*chfuzzer

由于时间问题，我们只对一个产品进行了测试。很早以前的某款屏幕录像工具SDE*O 2.0。格式为自定义格式。其中Peach 二蒜1.0 二蒜1.1效果如下图所示。

试用申请

目前，对于免费客户，提供三头蒜试用版下载。

下载方法如下：

大蒜-白皮蒜3.0  www.asm64.com/new

二蒜1.0 三蒜1.0（关注公众号IFFA 回复二蒜评估 即可下载）

我们的公众号是IFFA。微信是：B9E2C8D0。一起来玩吧。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课