Fuzzing Frameworks for Server-side Web Applications: A Survey

全球约有53亿互联网用户，占全球人口的65.7％，而Web技术是通过互联网提供服务的支柱。为确保Web应用程序没有安全相关的漏洞，在将其部署到生产环境之前，Web开发人员会对服务器端Web应用程序进行测试。这些测试通常是通过应用程序公开的接口（即Web API）进行的，因为它们是应用程序的入口点。模糊测试是一种最有前途的自动化软件测试技术，适用于这项任务；但是，与广泛研究的二进制模糊测试相比，对（服务器端）Web应用程序模糊测试的研究相对较少。本研究回顾了用于通过Web API测试Web应用程序的最新模糊测试框架，确定了开放性挑战，并提供了潜在的未来研究方向。我们收集了过去十年中来自七个在线同行评审文章存储库的论文。与其他类似的研究相比，我们的回顾更深入地揭示了生成有效HTTP请求的先前工作策略，利用Web Under Tests（WUT）的反馈，并扩展输入空间。本次调查的结果表明，需要解决几个关键挑战，例如Web工具化的无效性和处理微服务应用程序的复杂性。此外，还提供了一些潜在的研究方向，例如用于Web客户端编程的模糊测试。最终，本文旨在为开发更好的Web模糊测试框架提供一个良好的起点。

本论文旨在回顾针对Web API的模糊测试框架的现有研究，并识别存在的挑战和未来研究方向。

本论文重点探讨了如何生成有效的HTTP请求、利用Web Under Tests（WUTs）的反馈以及扩展输入空间等方面的问题，并提出了一些解决方案。

本论文发现了一些关键挑战，例如Web工具的无效性和处理微服务应用程序的复杂性，并提出了一些潜在的研究方向，例如针对Web客户端编程的模糊测试。

在这个领域中，最近的相关研究包括《Web应用程序漏洞检测的现状与未来》、《Web应用程序安全性的研究现状》等。