Fuzz Testing atau fuzzing adalah teknik pengujian software dengan memberikan input yang tidak terduga, tidak valid, atau rusak kepada aplikasi. Tujuannya adalah melihat bagaimana aplikasi merespons input tersebut.
Jika aplikasi mengalami crash, error, memory corruption, atau perilaku tidak normal, hasil tersebut dapat menjadi indikasi adanya bug atau kerentanan. NIST menjelaskan bahwa fuzz testing efektif untuk menemukan kelemahan software karena dapat menguji input dalam jumlah besar secara otomatis. (dikutip dari: NIST – Fuzz Testing for Software Assurance)
Apa Itu Fuzzing?
Fuzzing merupakan metode automated software testing. Fuzzer akan menghasilkan atau memodifikasi input, kemudian mengirimkannya kepada target.
Input tersebut dapat berupa:
String.
Angka.
File.
HTTP request.
JSON atau XML.
Paket jaringan.
Parameter aplikasi.
Data biner.
Setelah input diberikan, fuzzer mengamati respons aplikasi untuk mencari perilaku yang tidak normal.
OWASP menjelaskan bahwa fuzzing dapat digunakan untuk menguji URL, form, user-generated content, RPC request, protokol, hingga format file. (dikutip dari: OWASP – Fuzzing)
Proses fuzzing umumnya terdiri dari beberapa tahap.
1. Menentukan Target
Tentukan bagian aplikasi yang akan diuji. Target dapat berupa API, web form, parser, protokol, atau fungsi tertentu.
2. Menyiapkan Input
Fuzzer menyiapkan berbagai input. Data tersebut dapat berasal dari input normal yang kemudian dimodifikasi atau dibuat dari aturan tertentu.
3. Mengirimkan Input
Fuzzer mengirimkan input secara otomatis dalam jumlah besar.
4. Mengamati Respons
Sistem kemudian dipantau untuk menemukan crash, exception, timeout, atau perilaku yang tidak biasa.
5. Menganalisis Temuan
Input yang menyebabkan masalah disimpan dan diperiksa kembali. Dengan begitu, developer dapat mengetahui penyebab bug dan memperbaikinya.
Jenis-Jenis Fuzzing
Mutation-Based Fuzzing
Metode ini menggunakan input yang sudah ada sebagai dasar. Input tersebut kemudian dimodifikasi menjadi berbagai variasi.
Contohnya, sebuah file yang valid dapat diubah dengan menambahkan karakter acak atau merusak struktur tertentu.
Generation-Based Fuzzing
Fuzzer membuat input baru berdasarkan aturan atau struktur yang telah ditentukan.
Pendekatan ini berguna untuk format yang memiliki struktur kompleks, seperti protokol atau file tertentu.
NIST membagi pendekatan fuzzing antara lain menjadi mutation-based dan generation-based fuzzing.
Apa yang Bisa Ditemukan dengan Fuzzing?
Fuzzing dapat membantu menemukan berbagai masalah software, seperti:
Buffer overflow.
Crash.
Memory corruption.
Input validation error.
Parser vulnerability.
Denial of Service.
Logic error.
Unexpected exception.
Beberapa jenis security vulnerability.
Namun, fuzzing tidak otomatis menemukan semua jenis kerentanan.
Fuzzer tetap membutuhkan konfigurasi dan target yang tepat agar hasilnya berguna.
Fuzzing untuk Web Application
Pada aplikasi web, fuzzing dapat digunakan untuk menguji berbagai input.
Contohnya:
Parameter URL.
Form login.
API endpoint.
HTTP header.
Upload file.
JSON request.
Parameter pencarian.
Sebagai contoh, sebuah aplikasi mungkin mengharapkan angka sebagai input. Fuzzer dapat mencoba nilai negatif, angka sangat besar, karakter khusus, atau format yang tidak sesuai.
Respons aplikasi kemudian dianalisis untuk melihat apakah terjadi error atau perilaku yang tidak semestinya.
Penetration Testing vs Fuzzing
Fuzzing dan penetration testing memiliki tujuan yang berkaitan, tetapi bukan hal yang sama. Fuzzing lebih berfokus pada pemberian input dalam jumlah besar untuk menemukan perilaku abnormal.
Sementara itu, penetration testing memiliki cakupan lebih luas. Pengujian dapat mencakup konfigurasi, autentikasi, authorization, jaringan, aplikasi, dan eksploitasi kerentanan.
Karena itu, fuzzing dapat menjadi salah satu teknik dalam proses security testing, tetapi bukan pengganti penetration testing.
Kelebihan Fuzz Testing
Fuzzing memiliki beberapa keunggulan.
Otomatis
Fuzzer dapat menjalankan ribuan hingga jutaan pengujian tanpa input manual satu per satu.
Menemukan Edge Case
Input yang jarang terpikirkan oleh developer dapat menghasilkan bug yang tidak ditemukan melalui functional testing biasa.
Dapat Diulang
Input yang menyebabkan crash dapat disimpan. Developer kemudian dapat menggunakannya kembali untuk menguji perbaikan.
Cocok untuk Continuous Testing
Fuzzing dapat dimasukkan ke dalam proses pengembangan secara berkala. NIST juga merekomendasikan fuzzing sebagai salah satu teknik dalam verifikasi software.
Fuzz Testing atau fuzzing adalah teknik pengujian otomatis yang memberikan berbagai input tidak terduga kepada aplikasi untuk menemukan bug dan potensi kerentanan.
Teknik ini dapat digunakan pada web application, API, parser, protokol, hingga format file. Fuzzing juga membantu menemukan edge case yang mungkin terlewat dalam pengujian manual.
Namun, hasil fuzzing tetap membutuhkan analisis. Crash atau error belum tentu merupakan vulnerability yang dapat dieksploitasi.
Dengan konfigurasi yang tepat dan pengujian rutin, fuzzing dapat menjadi salah satu lapisan penting dalam software security testing.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
