安全与隐私lcamtuf.blogspot.com
凭空提取 JPEG 图像
Pulling JPEGs out of thin air
2014 — 2019，它一次次回到首页
黑点是上首页（≥ 50 分）的那次投稿，空心点是没冲上去的投稿，点越大分数越高。
导读
作者演示了如何不借助任何现成库，用遗传算法式的反馈循环“凭空”进化出一个合法的 JPEG 文件——这正是 AFL（American Fuzzy Lop）模糊测试工具的核心思想。文章展示了覆盖率引导的模糊测试如何自动摸索出复杂的文件格式。
为什么经久不衰：它用通俗实验讲清了覆盖率引导模糊测试的原理，AFL 由此衍生出的漏洞列表至今仍在增长，是理解现代安全测试的经典入门。
HN 评论精选
这种进化式输入搜索与早年自动破解注册码的技术同源
我记得在基于互联网的验证和更强的加密普及之前，类似的技术曾被成功用于自动破解软件（注册码、密钥文件、序列号）；区别在于那种方法不需要访问源码或重新编译目标程序，它只是跟踪执行过程，并朝着产生更长、更宽（即覆盖二进制中更多位置）的执行轨迹的输入方向“进化”。
userbinator查看英文原文
I remember a very similar technique being used successfully for automatically cracking software (registration keys/keyfiles, serial numbers) before Internet-based validation and stronger crypto became common; the difference is that method didn't require having access to any source code or recompiling the target, as it just traced execution and "evolved" itself toward inputs producing longer and wider (i.e. more locations in the binary) traces.
类似思路已被商业化，用于保证覆盖编解码规范全部路径
几年前一位同事为 H264/5 做过类似的东西：Argon Streams HEVC。它不只是模糊测试器，它保证覆盖规范的每一部分（取决于你实现的 profile）。它不是免费的，而是卖给 HEVC 实现者用于验证的商业产品。
pjc50查看英文原文
A couple of years ago a colleague built this for H264/5: http://www.argondesign.com/products/argon-streams-hevc/ It's not just a fuzzer, it guarantees to hit every part of the spec (subject to what "profile" you're implementing). It's not free, it's a product for sale to implementers of HEVC for verification purposes.
AFL 此后发现的漏洞列表已非常可观
之前的讨论：https://news.ycombinator.com/item?id=8571879。从那以后，漏洞列表已经增长得相当可观：http://lcamtuf.coredump.cx/afl/#bugs
acdha查看英文原文
Previous discussion: https://news.ycombinator.com/item?id=8571879 Since then the bug list has grown impressively: http://lcamtuf.coredump.cx/afl/#bugs
对新手来说这是绝佳的模糊测试入门
这简单得令人难以置信，太酷了。我一直在找一篇面向新手的模糊测试文章和工具，找了很久！
exabrial查看英文原文
This is mind-bogglingly cool and simple. I've been looking for a "fuzzing for noobs" article and tool for a long time!
历次讨论
同类还值得读
非法素数
Illegal prime
维基百科条目，介绍“非法素数”：某些素数之所以被称为“非法”，是因为它们经特定编码后，恰好对应一段被法律禁止传播的数据——最著名的是 DVD 解密程序 DeCSS 的代码，有人把…
安全与隐私上首页 5 次 · 2010–2021en.wikipedia.org编辑精选关于 /dev/urandom 的常见误区
Myths about /dev/urandom
（Thomas Hühn 撰写，2014 年首发并持续更新）逐条反驳关于 /dev/urandom 的常见误解：它与 /dev/random 使用的是同一个 CSPRNG，一旦完…
安全与隐私上首页 5 次 · 2014–20202uo.de编辑精选AES 高级加密标准火柴人图解
A Stick Figure Guide to the Advanced Encryption Standard (AES)
一篇用火柴人漫画形式讲解 AES（高级加密标准）算法的经典科普文章。
安全与隐私上首页 5 次 · 2009–2022moserware.com编辑精选指纹是用户名，不是密码
Fingerprints are Usernames, not Passwords
作者（eCryptfs 维护者、Ubuntu 安全工程师）认为指纹等生物特征是公开、不可更改的标识，应视作用户名而非密码，不能当作秘密凭据用于认证。
安全与隐私上首页 4 次 · 2013–2017blog.dustinkirkland.comHTTPS 连接的最初几毫秒（2009）
The First Few Milliseconds of an HTTPS Connection (2009)
逐毫秒拆解一次 HTTPS 连接建立时发生了什么，重点讲 TLS 握手、证书验证、RSA 签名与密钥协商等机制，面向不熟悉该领域的读者。
安全与隐私上首页 4 次 · 2009–2020moserware.com编辑精选