Fuzzing de analizadores y validadores propios

El fuzzing guiado por cobertura genera entradas, mide qué ramas del código recorre cada una y conserva las que llegan a sitios nuevos, para mutarlas otra vez. Así, en horas, encuentra combinaciones que nadie habría escrito: una línea con menos campos, un tipo de registro que no existe, un texto larguísimo. Se aplica al código propio que lee lo que viene de fuera: lectores de archivos, decodificadores, validadores de formatos y expresiones regulares.

Lo importante no es la herramienta sino el arnés, la función pequeña que recibe la entrada y llama al lector. El arnés decide qué cuenta como fallo: debe dejar pasar las excepciones que el lector documenta como rechazo normal (una línea mal formada que se informa) y dejar que todo lo demás se vea. Y puede ir más allá de los cierres inesperados con propiedades: condiciones que siempre deben cumplirse en lo que el lector devuelve, como que un abono nunca sea negativo. Sin ellas, el fuzzing solo ve lo que revienta, no lo que sale mal en silencio.

Abre el laboratorio y lee salida-campana.txt. Cada hallazgo dice dónde se detuvo la ejecución. Uno de ellos no llega nunca al lector: se detiene en el propio arnés, antes de llamar a nada de Llovizna. Compara con arnes_recaudo.py y con lo que dice formato-recaudo.txt sobre cómo llega el archivo.

Dos hallazgos son tiempos agotados. Una expresión regular con un cuantificador dentro de otro cuantificador puede probar un número de combinaciones que crece de forma exponencial con la longitud del texto cuando al final no coincide (CWE-1333, complejidad ineficiente de una expresión regular). Una referencia de unas decenas de caracteres basta para dejar ocupado el proceso que importa el archivo de todos los conjuntos.

La campaña guarda cada entrada que falla, y varias entradas distintas suelen llevar al mismo fallo. Agrupa los hallazgos por el lugar donde se detuvo la ejecución y el tipo de fallo, y descarta el que no es del código de Llovizna.

FZ-04 no es un cierre inesperado: el lector devolvió un pago con valor negativo sin quejarse, y fue la propiedad del arnés la que lo marcó. Piensa en lo que habría pasado al importar ese archivo y en qué se convierte la entrada minimizada después de arreglarlo.