AFL++ 对复杂二进制默认失效，因其原生仅支持插桩目标；闭源、反调试、多进程等场景需显式启用QEMU（-Q）、Frida（-F）等模式，并满足对应约束（如QEMU禁用seccomp、Frida要求可注入且精准hook），否则无法获取覆盖率反馈。
为什么 AFL++ 对复杂二进制默认失效
AFL++ 的 afl-fuzz 原生只对插桩（instrumented）目标高效，而复杂二进制（如闭源、静态链接、含反调试、多进程、自修改代码）往往无法重新编译或注入。直接跑 afl-fuzz -x dict -i in -o out -- ./target 通常卡在「no instrumentation detected」或快速崩溃，不是因为输入错，而是 AFL++ 根本没拿到可控的覆盖率反馈。
关键点在于：灰盒 ≠ 黑盒。AFL++ 的灰盒模式依赖某种形式的轻量级反馈（如 QEMU 模式下的基本块计数、frida/injector 模式下的运行时 hook），必须显式启用对应引擎，且目标需满足该引擎的约束条件。
- QEMU 模式（
afl-fuzz -Q）能跑任意 x86_64/ARM64 二进制，但要求目标不依赖非常规系统调用（如 seccomp 过滤）、不主动检测 QEMU 环境（如读取/proc/sys/kernel/osrelease）、不使用 CPUID 指令做反虚拟化 - frida 模式（
afl-fuzz -F）需要目标进程可被 Frida 注入（即未设PR_SET_NO_NEW_PRIVS或ptrace(PTRACE_TRACEME)自防护），且 Frida 脚本必须精准 hook 到关键路径（如解析入口函数）才能提取覆盖 - 如果目标 fork 后子进程处理输入（如守护进程模型），必须用
-C（crash exploration）或配合afl-showmap确认子进程是否被正确跟踪
QEMU 模式下绕过常见崩溃和性能陷阱
启用 afl-fuzz -Q -i in -o out -- ./target @@ 后，常遇到 qemu: uncaught target signal 11 (Segmentation fault) 或吞吐量极低（
- 加
-q参数关闭 QEMU 的日志输出，避免 stderr 冲突导致卡死 - 若目标用
mmap(MAP_FIXED)覆盖关键地址，启动前设export QEMU_SET_ENV="LD_PRELOAD=/path/to/libno_fixed_mmap.so"（需自行编译一个拦截 mmap 的 preload 库） - 禁用 ASLR：运行前执行
setarch $(uname -m) -R ./target，否则 QEMU 模拟的地址随机化会导致覆盖率不稳定 - 用
afl-showmap -Q -o .test_map -- ./target input.bin先验证单次执行能否产出非空 map（输出应为数百~数千行十六进制数字），为空说明根本没走到插桩逻辑
用 afl-cmin 和字典提升对协议类二进制的变异效率
复杂二进制常处理结构化输入（如网络协议、文件格式），纯位翻转变异效率极低。AFL++ 自带的 afl-cmin 和字典机制能显著收敛输入空间，但需注意边界条件。
立即学习“C++免费学习笔记（深入）”；
-
afl-cmin -Q -i in_dir -o cmin_dir -- ./target @@会剔除冗余输入，但若目标有状态（如需先发 handshake 包再发 payload），afl-cmin可能误删「看似重复实则必要」的前置包 —— 此时应人工拆分测试用例为「stateful prefix + fuzzable suffix」两部分 - 字典（
-x dict.txt）必须用纯文本格式，每行一个 token，不能含空格或控制字符；对二进制协议，推荐用xxd -p提取字段值生成 hex 字典（如0001、ffff、deadbeef） - 若目标校验 CRC/Checksum，需配合
afl-custom编写校验修复回调，否则 99% 变异输入因校验失败被直接拒绝，无法进入深层解析逻辑
frida 模式调试 hook 点失败的三个检查点
用 afl-fuzz -F frida_script.js -i in -o out -- ./target 时，常见现象是 fuzzing 启动后立即退出，或 __afl_area_ptr 始终为 null。这几乎一定是 Frida hook 未生效。
- 确认目标进程未调用
prctl(PR_SET_DUMPABLE, 0)：用grep -r "PR_SET_DUMPABLE" /proc/$(pidof target)/maps 2>/dev/null检查，若存在，需 patch 二进制或换用 ptrace 模式 - Frida 脚本中 hook 必须用
Module.findExportByName()或DebugSymbol.fromAddress()精确定位到解析函数起始地址，不能只 hook 函数名（C++ 符号会 mangling）；可用readelf -Ws ./target | grep parse找真实符号 - 确保 Frida 版本 ≥ 16.1.15（AFL++ 4.x 要求），且脚本里调用
send()发送 coverage map 前，必须先执行Interceptor.flush()，否则覆盖率数据滞留在缓冲区
复杂二进制的模糊测试难点不在工具链配置，而在准确识别「哪段代码真正消费输入」以及「如何让覆盖率信号穿透所有防护层」。漏掉一个 fork、一个 mmap flag、一个符号解析偏差，整个 fuzzing 就退化成随机 crash 测试。
