Почему не пушистый клиент

Question

В настоящее время я изучаю AFL, и я замечаю, что почти весь учебник по фаззингу сетей или фаззингу протоколов в основном тестирует сервер, а не клиента (я знаю, что с параметром -f afl может тестировать клиента). Интересно, есть ли причины, по которым люди предпочитают тестировать сервер и не тестируют клиент, приведет ли это к недостаточному охвату тестированием?

Answer 1

Это просто произвольный выбор в уроках. Фаззинг клиентов так же важен, как и фаззинг серверов, и, например, все веб-браузеры сильно размыты для выявления недостатков.

В зависимости от приложения, поверхность атаки может сильно отличаться для сервера и клиента. В некоторых приложениях клиент подключается только к доверенным серверам (в идеале - через зашифрованное и проверенное сертификатами соединение), в то время как серверы открыты для любого пользователя. Но для других клиентов, таких как веб-браузеры, сервер также может быть вредоносным.