Java安全测试：基于AFL的Fuzzing与Java Security Manager应用

1. 概述

本文档详细介绍了如何使用基于AFL的Java Fuzzing工具（Kelinci和JQF）结合Java Security Manager进行Java应用程序的安全测试。主要内容包括：

• Java Fuzzing工具比较与选择
• Java Security Manager的配置与应用
• 实际案例分析（Apache Commons和Apache Tika）
• 发现的安全问题类型与处理方法

2. Java Fuzzing工具介绍

2.1 工具对比

2.2 工具选择建议

• Kelinci：适合安全研究人员，能发现未捕获异常等问题
• JQF：适合开发者，与单元测试集成更好
• 不推荐使用java-afl，因其难以配置和使用

3. Java Fuzzing目标分析

Java Fuzzing可发现以下类型的问题：

1. JVM本身的bug：如标准库中的死循环问题
2. 资源管理问题：
   • 拒绝服务(DoS)
   • 内存耗尽(OutOfMemoryException)
   • CPU高负载
   • 长时间运行不返回
3. 未捕获的异常：如RuntimeException
4. 常规安全问题：
   • SSRF（服务端请求伪造）
   • XXE（XML外部实体注入）
5. 原生代码问题：使用JNI/CNI时的内存破坏

4. Java Security Manager配置

4.1 基本概念

Java Security Manager是JVM内置的安全机制，可用于：

• 限制文件访问（白名单）
• 控制网络连接
• 管理系统属性访问

4.2 典型策略文件示例

grant {
    // Kelinci所需权限
    permission java.lang.RuntimePermission "modifyThread";
    permission java.net.SocketPermission "localhost:7007", "listen, resolve";
    
    // 文件访问权限
    permission java.io.FilePermission "/tmp/*", "read,write,delete";
    permission java.io.FilePermission "in_dir/*", "read";
    permission java.io.FilePermission "out_dir/*", "read,write";
    
    // 应用特定权限
    permission java.util.PropertyPermission "user.home", "read";
};

4.3 自动生成策略文件

使用TMSJSPGE工具可自动生成最小权限策略：

1. 准备输入语料库
2. 对每个文件运行目标程序
3. 捕获并记录所需权限
4. 生成最小权限策略文件

5. 实战案例：Apache Commons

5.1 测试步骤

1. 准备环境：

   java -Djava.security.manager -Djava.security.policy=policy.txt \
        -Djava.io.tmpdir=/tmp/ -cp bin-instrumented:commons-imaging-1.0-instrumented.jar \
        edu.cmu.sv.kelinci.Kelinci driver.Driver @@
   

2. 发现的问题：

   • ArrayIndexOutOfBoundsException（文件：fileArrayIndexOutOfBoundsException_DhtSegment_79.jpeg）

3. 关键点：

   • 必须使用真实的JPEG文件作为初始语料库
   • "hello"等文本文件不适合作为初始输入

6. 实战案例：Apache Tika

6.1 复杂配置

Apache Tika需要更复杂的策略文件，因其：

• 依赖247个JAR文件
• 支持上千种文件格式
• 需要各种运行时权限

6.2 发现的安全问题

1. DoS漏洞：

   • CVE-2018-1338：BPGParser中的无限循环
   • CVE-2018-1339：ChmParser中的CPU 100%占用

2. 未捕获异常：

   • 栈溢出（Apache PDFBOX）
   • 数组越界（Apache common ZipFile）
   • IllegalArgumentException（VorbisJava）

3. Java标准库bug：

   • RiffReader中的死循环（Java 10之前版本）

6.3 测试技巧

1. 处理挂起：

   • 使用调试器分析堆栈
   • 区分是Fuzzer问题还是真实漏洞

2. 性能优化：

   • 移除耗时长的测试文件（如复杂PDF）
   • 使用x86机器（比ARM性能更好）

7. 最佳实践

1. 语料库准备：

   • 使用真实文件样本
   • 覆盖各种边界情况
   • 定期更新语料库

2. 权限配置：

   • 从最小权限开始
   • 逐步添加必要权限
   • 使用自动化工具生成策略

3. 问题分析：

   • 区分安全问题和功能问题
   • 验证是否可稳定复现
   • 提供最小复现用例

4. 持续改进：

   • 监控Fuzzer状态
   • 调整超时设置
   • 定期检查崩溃/挂起目录

8. 局限性与挑战

1. Java Fuzzing的局限性：

   • 难以发现传统的内存破坏问题
   • 主要发现DoS和异常处理问题

2. 常见挑战：

   • 大型项目（如Tika）配置复杂
   • Fuzzer稳定性问题
   • 权限策略维护困难

3. 未来方向：

   • 开发更智能的权限分析工具
   • 改进Fuzzer的稳定性
   • 扩展安全问题的检测范围

9. 资源

1. 工具链接：

   • Kelinci: https://github.com/isstac/kelinci
   • JQF: https://github.com/rohanpadhye/jqf
   • TMSJSPGE: https://github.com/modzero/TMSJSPGE

2. 测试用例：

   • https://github.com/modzero/mod0javaFuzzingResults

3. 参考文档：

   • Java Security Manager官方文档
   • AFL官方文档
   • 各项目安全公告

10. 总结

Java Fuzzing结合Java Security Manager是发现Java应用程序安全问题的有效方法，特别适合发现：

1. 资源管理问题（DoS等）
2. 未捕获异常
3. 标准库实现问题

虽然配置复杂且有一定局限性，但通过合理的工具选择和策略配置，可以显著提高Java应用程序的安全性。