本文提出 SmuFuzz，一个面向闭源厂商固件中 System Management Mode (SMM) 应用的模糊测试框架，旨在解决现有 SMM 模糊测试缺少完整 UEFI 运行时环境的问题。在 UEFI 标准下，x86 处理器上的 SMM 用于处理关键硬件事件，运行于 Ring -2 特权级，对系统资源拥有近乎无限的访问权限；然而厂商普遍使用内存不安全的语言开发 SMM 应用，导致其容易受到内存破坏漏洞影响并成为攻击者的高价值目标。现有 SMM 模糊测试方法由于没有完整 UEFI 运行时来支撑 SMM 应用的准备、初始化和收尾，应用数据常常未被正确初始化，一旦模糊测试访问未初始化数据，就会引发提前退出或非预期崩溃，导致只能探索到浅层代码并产生大量误报。SmuFuzz 通过部分重托管 SMM 应用，在一个提供完整 UEFI 运行时的定制基础设施上运行，自动补齐依赖与运行时，使目标应用能够正确初始化和正常执行；同时，SmuFuzz 自动推断复杂 SMM 应用的输入语义以实现深度探索。实验表明，与最先进的模糊器相比，SmuFuzz 的唯一基本块覆盖率达到 4.45 倍，同时发现更多漏洞并显著降低了误报率。利用 SmuFuzz，作者在多家主要厂商的固件中识别出 38 个新漏洞，并均已负责任地披露。该工作对 UEFI 固件安全研究、蓝队固件漏洞评估以及 SMM 模糊测试工具选型具有重要参考价值，适合固件安全研究员、漏洞挖掘工程师及固件供应链安全审计人员阅读。

该论文提出了一种名为 SPENDER 的静态分析框架，用于检测 UEFI 固件中系统管理模式（SMM）的特权提升漏洞。UEFI 固件运行在 ring -2 的 SMM 中，其安全等级高于操作系统内核（ring 0），但其软件漏洞可能导致从 ring 0 到 ring -2 的特权提升攻击。作者首先系统性地研究了这类漏洞，将其根源归结为两种可逃逸出 SMRAM 的引用：遗留引用（legacy references）和无意引用（unintentional references）。现有静态分析方法难以有效分析经过剥离的商用 UEFI 固件镜像，因为这些固件基于一种自定义的回调机制，该机制将可调用函数组织成由 GUID 标识的协议。SPENDER 利用这种基于回调的编程范式，首次提出一种以协议为中心的静态分析方法，能够高效且精确地发现潜在的 SMM 特权提升漏洞。通过对来自 8 个供应商的共 1148 个 UEFI 二进制文件进行测试，SPENDER 成功发现了 36 个 SMM 特权提升漏洞（包括 2 个 1-day 和 34 个 0-day 漏洞），这些漏洞可导致任意代码执行和任意地址写入，攻击者可能利用这些漏洞将引导工具包（bootkit）安装到闪存驱动器中。所有 36 个漏洞均已报告给相关供应商，其中 2 个 1-day 漏洞被确认为已知，34 个 0-day 漏洞被确认为新发现。