Rust 语言模糊测试（Fuzzing）完整指南

一、技术背景

传统的模糊测试工具（如 AFL、libFuzzer、honggfuzz）主要针对 C/C++ 项目。随着 Rust 等现代编译型语言的兴起，社区逐步开发了专用的模糊测试工具支持。Rust 生态中目前主流的模糊测试工具包括：

• cargo-fuzz：官方推荐，基于 libFuzzer 提供简洁接口
• afl.rs：将 AFL 移植到 Rust 生态
• honggfuzz：提供基于硬件反馈的高效模糊测试能力

二、环境准备

2.1 Rust 工具链安装

# 安装 Rust 工具链（选择默认选项）
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

# 设置环境变量
source $HOME/.cargo/env

2.2 编译器版本要求

模糊测试需要 LLVM sanitizer 支持，必须使用 nightly 版本的 Rust 编译器：

# 切换到 nightly 版本
rustup default nightly
# 或仅为当前项目启用
rustup override set nightly

三、cargo-fuzz 使用指南

3.1 安装与架构

# 安装 cargo-fuzz
cargo install cargo-fuzz

cargo-fuzz 不是独立的 fuzzer，而是通过 libfuzzer-sys crate 调用 LibFuzzer 引擎。

3.2 实战案例：测试 rust-url 库

# 创建测试项目
cargo new fuzz-example && cd fuzz-example

# 初始化模糊测试环境
cargo fuzz init

# 查看现有 fuzz 目标
cargo fuzz list

3.3 编写测试目标

编辑 fuzz/fuzz_targets/fuzz_target_1.rs：

# = std::str::from_utf8(data) {
        let _ = url::Url::parse(s);
    }
});

3.4 语料库构建

# 创建种子语料库目录
mkdir -p fuzz/corpus/fuzz_target_1

# 添加种子样本
echo "https://example.com" > fuzz/corpus/fuzz_target_1/seed1
echo "http://localhost:8080" > fuzz/corpus/fuzz_target_1/seed2

3.5 执行测试

cargo fuzz run fuzz_target_1

3.6 高级参数配置

# 传递 libFuzzer 参数
cargo fuzz run fuzz_target_1 -- -ignore_crashes=1 -max_len=1024

# 常用参数：
# -ignore_crashes=1   遇到崩溃继续运行
# -max_len=<len>      限制输入最大长度
# -max_total_time=<s> 限制总运行时间
# -dict=<file>        使用字典文件

3.7 Crash 分析

发现的 crash 保存在 fuzz/artifacts/fuzz_target_1/ 目录中，可使用以下命令复现：

cargo fuzz run fuzz_target_1 artifact_file

3.8 实用功能

# 创建新测试目标
cargo fuzz add new_target

# 缩小 crash 用例
cargo fuzz tmin fuzz_target_1 artifact_file

# 生成覆盖率信息
cargo fuzz coverage fuzz_target_1

四、afl.rs 使用指南

4.1 安装

cargo install afl

4.2 项目配置

在 Cargo.toml 中添加：

[dependencies]
afl = "0.12"
url = "2.0"  # 示例测试目标

4.3 编写测试代码

src/main.rs：

use afl::fuzz;

fn main() {
    fuzz!(|data: &[u8]| {
        if let Ok(s) = std::str::from_utf8(data) {
            let _ = url::Url::parse(s);
        }
    });
}

4.4 构建与运行

# 构建 AFL 插桩版本
cargo afl build

# 准备语料库
mkdir -p in
echo "https://example.com" > in/seed1

# 运行模糊测试
cargo afl fuzz -i in -o out target/debug/fuzz-example

4.5 高级功能

# 并行测试
cargo afl fuzz -i in -o out -M master target/debug/fuzz-example
cargo afl fuzz -i in -o out -S slave1 target/debug/fuzz-example

# 启用 AddressSanitizer
RUSTFLAGS="-Zsanitizer=address" cargo afl build

# 语料库优化
cargo afl cmin -i in -o in_optimized target/debug/fuzz-example

五、honggfuzz 使用指南

5.1 安装

cargo install honggfuzz

5.2 Linux 系统依赖

# Ubuntu/Debian
sudo apt install binutils-dev libunwind-dev

# CentOS/RHEL
sudo yum install binutils-devel libunwind-devel

5.3 项目配置

Cargo.toml：

[dependencies]
honggfuzz = "0.5"

5.4 测试代码

src/main.rs：

use honggfuzz::fuzz;

fn main() {
    loop {
        fuzz!(|data: &[u8]| {
            if let Ok(s) = std::str::from_utf8(data) {
                let _ = url::Url::parse(s);
            }
        });
    }
}

5.5 运行测试

# 创建输入目录
mkdir -p input
echo "https://example.com" > input/seed

# 运行模糊测试
cargo hfuzz run fuzz-example

5.6 高级配置

# 启用硬件反馈（Intel PT）
cargo hfuzz run --linux-perf fuzz-example

# 启用 AddressSanitizer
cargo hfuzz run --sanitizer=address fuzz-example

# 并行执行
cargo hfuzz run --threads=4 fuzz-example

六、覆盖率分析

6.1 工具安装

rustup component add llvm-tools-preview
cargo install cargo-binutils
cargo install rustfilt

6.2 收集覆盖率数据

# 编译插桩版本
RUSTFLAGS="-C instrument-coverage" cargo build

# 收集覆盖率
LLVM_PROFILE_FILE="coverage.profraw" cargo fuzz run fuzz_target_1

# 处理数据
llvm-profdata merge -sparse coverage.profraw -o coverage.profdata

6.3 生成报告

# HTML 报告
llvm-cov show -Xdemangler=rustfilt target/debug/fuzz_target_1 \
    -instr-profile=coverage.profdata \
    -show-line-counts-or-regions \
    -show-instantiations \
    -format=html > coverage_report.html

# 终端输出
llvm-cov report -Xdemangler=rustfilt target/debug/fuzz_target_1 \
    -instr-profile=coverage.profdata

七、工具对比与选择

选择建议：

• cargo-fuzz：快速原型、CI/CD 集成、新手用户
• afl.rs：大规模并行测试、精细参数控制、长期测试
• honggfuzz：硬件资源充足、无插桩测试、高性能需求

八、最佳实践

1. 种子语料质量：提供多样化有效输入，覆盖主要代码路径和边界条件
2. Sanitizer 配置：根据目标选择合适的检测级别，平衡性能与检测能力
3. 持续监控：定期分析覆盖率数据，调整测试策略，及时处理安全问题
4. 真实案例学习：参考 Rust Fuzz Trophy Case 学习漏洞模式

九、真实漏洞案例

1. Rust regex ReDoS (CVE-2022-24713)：Addison Crump 使用 cargo-fuzz 在 20 秒内发现
2. zlib-rs 栈溢出 (RUSTSEC-2024-0401)：@inahga 使用 AFL 类工具发现编译器优化问题
3. Cap'n Proto 越界读取 (CVE-2022-46149)：David Renshaw 使用模糊测试发现协议解析漏洞

十、总结

Rust 模糊测试工具生态成熟，三种主流工具各有优势：

• cargo-fuzz 提供简洁接口和结构化测试
• afl.rs 支持深度路径探索和精细控制
• honggfuzz 提供硬件级高性能测试

通过组合使用这些工具，结合高质量的种子语料和适当的 sanitizer 配置，可以显著提高 Rust 项目的安全性和可靠性。定期进行覆盖率分析和工具链更新是保持测试有效性的关键。