Fuzzing - Versionsgeschichte

St191423 am 27. Juli 2020 um 19:41 Uhr

2020-07-27T19:41:37Z

← Nächstältere Version		Version vom 27. Juli 2020, 19:41 Uhr
Zeile 17:		Zeile 17:
	Unterschieden werden kann beim Fuzzing zwischen Blackbox- und Whitebox-Test.		Unterschieden werden kann beim Fuzzing zwischen Blackbox- und Whitebox-Test.
	Bei ersterem, auch als "dump" Fuzzing bezeichnet ist über die zu testende Software dem Fuzzer nichts über deren Struktur bekannt und es werden völlig randomisierte Eingabewerte verwendet (z.B. aus /dev/urandom).		Bei ersterem, auch als "dump" Fuzzing bezeichnet ist über die zu testende Software dem Fuzzer nichts über deren Struktur bekannt und es werden völlig randomisierte Eingabewerte verwendet (z.B. aus /dev/urandom).


	Fuzzern die Whitebox oder auch "smart" Fuzzing betreiben sind Parameter für die Eingabe vorgegeben, z.B. Dateitypen, Protokolle, etc.		Fuzzern die Whitebox oder auch "smart" Fuzzing betreiben sind Parameter für die Eingabe vorgegeben, z.B. Dateitypen, Protokolle, etc.

St191423 am 27. Juli 2020 um 19:40 Uhr

2020-07-27T19:40:34Z

← Nächstältere Version		Version vom 27. Juli 2020, 19:40 Uhr
Zeile 24:		Zeile 24:

	Fuzzing als Methode von Softwaretests gilt als kostengünstig im Einsatz. Mit ihr ist ein hoher zeitlicher Aufwand verbunden. Dieser kann jedoch durch Parallelisierung reduziert werden. Ebenfalls zeitaufwändig kann die Auswertung der Resultate sein, je nach Automatisierungsgrad des Monitorings bzw. Reportings.		Fuzzing als Methode von Softwaretests gilt als kostengünstig im Einsatz. Mit ihr ist ein hoher zeitlicher Aufwand verbunden. Dieser kann jedoch durch Parallelisierung reduziert werden. Ebenfalls zeitaufwändig kann die Auswertung der Resultate sein, je nach Automatisierungsgrad des Monitorings bzw. Reportings.


	Wie alle Testmethoden können auch mit Fuzzing nicht alle Fehler in einer Software gefunden werden		Wie alle Testmethoden können auch mit Fuzzing nicht alle Fehler in einer Software gefunden werden

St191423 am 27. Juli 2020 um 19:40 Uhr

2020-07-27T19:40:19Z

← Nächstältere Version		Version vom 27. Juli 2020, 19:40 Uhr
Zeile 23:		Zeile 23:


	Fuzzing als Methode von Softwaretests gilt kostengünstig im Einsatz. Mit ~~Fuzzing~~ ist ein hoher zeitlicher Aufwand verbunden. Dieser kann jedoch durch Parallelisierung reduziert werden. Ebenfalls zeitaufwändig kann die Auswertung der Resultate sein, je nach Automatisierungsgrad des Monitorings bzw. Reportings.		Fuzzing als Methode von Softwaretests gilt als kostengünstig im Einsatz. Mit ihr ist ein hoher zeitlicher Aufwand verbunden. Dieser kann jedoch durch Parallelisierung reduziert werden. Ebenfalls zeitaufwändig kann die Auswertung der Resultate sein, je nach Automatisierungsgrad des Monitorings bzw. Reportings.

	Wie alle Testmethoden können auch mit Fuzzing nicht alle Fehler in einer Software gefunden werden		Wie alle Testmethoden können auch mit Fuzzing nicht alle Fehler in einer Software gefunden werden

St191423: Die Seite wurde neu angelegt: „Als '''Fuzzing''' wird eine automatisierte Methode des Softwaretests bezeichnet. Ziel ist es die Robusheit einer Software zu erhöhen, so dass sich die Softwa…“

2020-07-27T19:35:07Z

Die Seite wurde neu angelegt: „Als '''Fuzzing''' wird eine automatisierte Methode des Softwaretests bezeichnet. Ziel ist es die Robusheit einer Software zu erhöhen, so dass sich die Softwa…“

Neue Seite

Als '''Fuzzing''' wird eine automatisierte Methode des Softwaretests bezeichnet.

Ziel ist es die Robusheit einer Software zu erhöhen, so dass sich die Software immer in einem definierten Zustand befindet und damit z.B. Sicherheitslücken der Software zu identifizieren.
<ref>[https://www.embedded-software-engineering.de/fuzzing-von-embedded-software-grundlagen-und-erfahrungen-a-751018/]Fuzzing von Embedded Software – Grundlagen und Erfahrungen (Stand: 26.01.2020)</ref>

Entsprechende Anwendungen werden als Fuzzer bezeichnet und laufen in der Regel zyklisch in drei Schritten ab:

# Als Eingabewert wird eine zufällige Abfolgen von Bits generiert oder eine definierte Abfolge von Bits wird zufällig modifiziert.
# Der generierte Wert wird zum Test der Eingabeschnittstelle einer Software verwendet.
# Abschließend wird das Verhalten der Software auf die Eingabe überprüft (Monitoring).

Um gefundene unerwünschte Zustände (Bugs) zusammenzufassen, können über die erfolgte Ausgabe des Systems z.B. Hashwerte gebildet werden. Dies vereinfacht die spätere Analyse und die Kategorisierung entsprechend der Kritikalität des jeweiligen Systemzustands. Das Monitoring kann hierzu zum Beispiel mit einem Bugtracker verbunden sein.

Unterschieden werden kann beim Fuzzing zwischen Blackbox- und Whitebox-Test.
Bei ersterem, auch als "dump" Fuzzing bezeichnet ist über die zu testende Software dem Fuzzer nichts über deren Struktur bekannt und es werden völlig randomisierte Eingabewerte verwendet (z.B. aus /dev/urandom).

Fuzzern die Whitebox oder auch "smart" Fuzzing betreiben sind Parameter für die Eingabe vorgegeben, z.B. Dateitypen, Protokolle, etc.

Als Beispiel kann hier die Eingabe auf einem Formular zur Erfassung von Adressdaten dienen. Beim Blackbox Fuzzing kann es passieren, dass bestimmte Zustände in bestimmter Zeit nicht erreicht werden und zum Beispiel das Format einer Postleitzahl nicht gewissen Parametern entspricht. In Folge kann die Übermittlungsfunktion niemals aufgerufen werden.

Fuzzing als Methode von Softwaretests gilt kostengünstig im Einsatz. Mit Fuzzing ist ein hoher zeitlicher Aufwand verbunden. Dieser kann jedoch durch Parallelisierung reduziert werden. Ebenfalls zeitaufwändig kann die Auswertung der Resultate sein, je nach Automatisierungsgrad des Monitorings bzw. Reportings.

Wie alle Testmethoden können auch mit Fuzzing nicht alle Fehler in einer Software gefunden werden