Microsoft: Zwei neue kostenlose Security-Tools

MiniFuzz File Fuzzer

Ein weiteres Tool zum Überprüfen fertiger Applikationen ist der MiniFuzz File Fuzzer. Er füttert Anwendungen mit automatisch erzeugten, fehlerhaften Dateien und beobachtet dann deren Reaktion. Was sich zunächst etwas exotisch anhört, wurde 2004 zum Alptraum für Microsoft. Im Grafic Device Interface von Windows XP und 2003 gab es eine Lücke, über die ein Angreifer den vollen Systemzugriff erhielt, wenn ein Anwender eine präparierte JPG-Bilddatei öffnete (siehe auch Patch Day September 2004: Extrem kritische JPEG-Lücke).

Für das File Fuzzing legt man in ein Verzeichnis verschiedene gültige Eingabedateien ab. In einem typischen Test erzeugt MiniFuzz damit dann 100.000 unterschiedlich stark manipulierte Dateien und ruft die zu testende Anwendung damit auf. Kommt es nicht zu einer kontrollierten Fehlermeldung, sondern zum unkontrollierten Crash, weil beispielsweise die Datei zu groß ist oder ungültige Werte enthält, liegt ein potenzielles Sicherheitsproblem vor.

MiniFuzz stellt die kritische Input-Datei dann dem Entwickler zur Verfügung, der damit den Fehler in seiner Anwendung analysieren und abfangen kann.

MiniFuzz kann innerhalb von Visual Studio oder auch als Standalone-Programm genutzt werden. Allerdings benötigt MiniFuzz als Standalone mindestens Vista als Betriebssystem. Ärgerlich ist, dass dies nur im „Kleingedruckten“ auf der Website von Microsoft zu lesen ist. Unter Windows XP lässt sich MiniFuzz problemlos installieren und auch starten. Will man dann einen Test beginnen, stürzt MiniFuzz aber mit einer nicht behandelten Exception ab.