WFC/WFD：面向REST API模糊测试的Web Fuzzing Commons、数据集与指南
软件工程
2025-09-03 v1
摘要
对REST API进行模糊测试是具有实际应用价值且对行业影响大的重要研究问题。因此，过去几年围绕该主题开展了大量研究工作。然而，仍存在三个主要问题：如何处理API认证；如何对比谈不同模糊器发现的不同故障类型；以及用于促进模糊器之间公平比较的案例研究选择。为此，我们提出Web Fuzzing Commons（WFC）和Web Fuzzing Dataset（WFD）。WFC是一套开源库和模式定义，用于声明性地指定认证信息并自动检测不同类型的故障。WFD是一组36个开源API，配套必要的脚手架，支持WFC以便轻松运行模糊测试实验。通过对EvoMaster等主流模糊器进行实验，展示了WFC/WFD的实用性。任何模糊器都可从WFC和WFD中受益。我们比较了EvoMaster与ARAT-RL、EmRest、LLamaRestTest、RESTler和Schemathesis等其他主流工具。我们讨论了工具比较中的常见陷阱，并提供了一套支持WFC/WFD的比较指南。
引用
@article{arxiv.2509.01612,
title = {WFC/WFD: Web Fuzzing Commons, Dataset and Guidelines to Support Experimentation in REST API Fuzzing},
author = {Omur Sahin and Man Zhang and Andrea Arcuri},
journal= {arXiv preprint arXiv:2509.01612},
year = {2025}
}