解析（parsing）在软件项目中无处不在，从小型命令行工具到高安全性的网络客户端，再到大型编译器，都离不开解析器。然而，解析库的实现缺陷可能导致生成不正确的解析器，进而被恶意输入利用，引发系统崩溃或安全漏洞。本文提出了一种轻量级的验证框架Bohemia，旨在帮助解析库开发者将其作为集成测试的工具箱中的一员。该框架基于 Equivalence Modulo Inputs (EMI) 的概念，通过变异输入语法来对解析库进行压力测试。作者在多个采用不同解析算法的解析库上评估了Bohemia，发现了若干缺陷，其中一些已被开发者确认并修复。论文详细阐述了Bohemia的设计原理、实现方式以及实验结果，展示了其在提升解析库鲁棒性方面的潜力。读者可以从中了解一种基于语法变异的解析库测试方法，以及如何利用EMI技术挖掘潜在的解析器缺陷。

本文提出了一种名为JWTeemo的自动化测试方法论，用于系统性地发现JSON Web Token (JWT) 实现中的安全漏洞。JWT作为分布式Web应用中广泛使用的认证和授权标准，其实现常存在签名验证绕过、令牌伪造、拒绝服务等漏洞。此前的研究多为单个漏洞报告，缺乏系统性分析。作者基于JWT规范（RFC 7515等）和常见实现错误，设计了JWTeemo，它通过构造畸形的JWT令牌（如修改签名算法、使用无效密钥、伪造头部等）来测试实现的鲁棒性。作者在10种主流编程语言的43个JWT实现上进行了评估，共发现31个此前未知的安全漏洞，其中20个已分配CVE编号。这些漏洞的影响包括：在Kubernetes中可实现认证绕过（由于Kubernetes使用JWT进行API服务器认证），以及在Apache James中可发起拒绝服务攻击。作者将漏洞归纳为五类：签名验证绕过、令牌伪造、DoS、密钥管理缺陷、算法混淆。针对每类漏洞，提出了缓解策略，并与IETF进行了讨论，IETF已承认这些发现并计划在新RFC中采纳缓解措施。此外，研究团队向受影响的供应商报告了漏洞，收到了Apache、Connect2id、Kubernetes、Let's Encrypt、RedHat等的确认和赏金奖励。该研究适合安全研究人员、JWT库的开发者以及依赖JWT的Web应用安全工程师阅读。

正则表达式拒绝服务（ReDoS）攻击是一种通过利用正则表达式引擎的病理最坏情况执行行为导致计算负载高度不对称、最终耗尽系统资源的漏洞类型。为了保护系统免受ReDoS攻击，已有多种检测技术被提出，这些技术通常通过生成攻击字符串来在开发早期主动利用ReDoS漏洞以促进修复。现有方法主要分为两类：一类是静态分析，查找有问题的正则表达式结构；另一类是动态探索方法，合成候选攻击字符串。然而，这些生成的攻击字符串在实际应用中往往不切实际，因为它们通常假设了不现实的输入长度预算，且未在程序级别验证攻击的有效性和效率。因此，许多字符串在应用于实际程序时无法触发易受攻击的正则表达式，限制了其实用性。为了解决这些不足，本文提出了PUFFERDOS，一种高效且有效的攻击字符串生成器，旨在合成既能在现实长度预算内可行又能通过程序级别验证的攻击输入，从而实现在真实程序中对ReDoS漏洞的有效利用。具体而言，首先基于观察和形式化验证定义了三种易受攻击的模式。根据这些模式，PUFFERDOS采用综合技术生成攻击字符串，然后通过ReDoS特定的组合符号执行（concolic execution）对字符串进行优化和验证，确保其在实际环境中可利用。该研究的核心贡献在于弥补了现有攻击字符串生成方法在实用性和有效性上的不足，为安全测试和漏洞修复提供了更可靠的工具。适合安全研究人员、开发者和安全工程师阅读。

本文提出了一种名为 HyperMirage 的新型混合虚拟 CPU 模糊测试方法，旨在解决传统模糊测试在虚拟化环境中状态覆盖不足的问题。该方法通过直接操纵虚拟CPU的内部状态（如寄存器、内存映射和特权级），结合符号执行和覆盖率引导的变异策略，显著提升了对虚拟化执行路径的探索效率。实验在QEMU、KVM和Bhyve等主流虚拟化平台上进行，结果显示HyperMirage相比现有工具（如Hypercube和TriforceAFL）在代码覆盖率和漏洞发现数量上均有大幅提升，共发现20个先前未知的虚拟化实现漏洞，其中12个被认定为安全关键。论文详细描述了状态快照与恢复机制、混合执行引擎的设计以及针对虚拟CPU特定指令集的模糊策略。该研究属于学术界对虚拟化安全测试方法的创新，适合虚拟化平台开发者、安全研究员和漏洞挖掘专家阅读。