PR：この記事にはアフィリエイトリンクが含まれます。
ソフトウェアに想定外の入力を渡して、クラッシュや予期しない挙動を探るのがファジングです。テストと脆弱性検証の両方で使われます。AFL++を試す前に本で基本を押さえると、ツール操作の先まで見通しやすくなります。
ファジング本の対象は幅広く、組み込み機器とネットワーク、Web APIでは必要な知識も異なります。自分が扱う対象に近い本を選ぶと、読んだ内容を実務へつなげやすいですよ。
AFL++を使ったファームウェア調査から、品質保証や通信解析、Web APIの検証まで、それぞれに焦点を当てた本を紹介します。対象と参考価格を早見表にまとめました。
本の早見表
開発プロセス全体を扱う本もあれば、IoTファームウェアやAPIの実習を中心に据えた本もあります。AFL++の実践や、周辺のテスト知識を学べる書籍を並べました。
| 本 | 主な対象 | 参考価格 |
|---|---|---|
 Fuzzing for Software Security Testing and Quality Assurance, Second Edition | 開発・品質保証 | $124.00 |
 Fuzzing Against the Machine | QEMU・IoTファームウェア | $51.99 |
 From Day Zero to Zero Day | 脆弱性調査全般 | $59.99 |
 Attacking Network Protocols | ネットワークプロトコル | $59.99 |
 Hacking APIs | REST・SOAP・GraphQL API | $59.99 |
金額は公式の希望小売価格を参考にした目安です。実売価格は時期や販売店で変わり、輸入書籍では為替や送料も加わる場合があります。
ファジングという共通点があっても、扱う入力や調査の進め方は本ごとに違います。AFL++の実践ならIoT編や脆弱性調査編、テスト計画まで学ぶなら品質保証編がおすすめです。
ファジングの基本
ファジングでは、プログラムに多様な入力を与えて、クラッシュや予想外の挙動を探します。人が一つずつ試すより多くのケースを短時間で調べられますが、入力を用意する工程も大切です。
AFL++のようなカバレッジガイド型ファザーは、実行経路を手がかりに入力を変化させます。新しい経路へ進んだ入力を蓄積するため、ランダムな値を投げ続ける方法よりコードの深い部分へ届きやすくなります。
クラッシュが見つかっても、それだけで脆弱性と決まるわけではありません。再現性と影響範囲を確かめて原因を特定し、修正につなげます。そこまでがソフトウェアテストとしてのファジングです。
開発と品質保証
Fuzzing for Software Security Testing and Quality Assurance, Second Editionは2018年刊行のハードカバーで、全330ページです。ファジングを開発ライフサイクルに組み込む考え方を扱い、品質保証全体の中に位置づけています。
ファジング指標やファザーの分類・構築を取り上げ、対象の監視やツール比較、ケーススタディにも触れます。AFLなどの進化型ファジングも扱うため、導入効果の測定を考えたい開発者やテスターにおすすめです。
発行は2018年。評価軸や組織内のテスト設計を学ぶ本として読むとよいでしょう。参考価格は$124.00です。
IoTとAFL++実践
Fuzzing Against the Machineは2023年刊行、238ページのペーパーバックです。QEMUでIoTファームウェアをエミュレートし、AFLやAFL++、LibFuzzerを使って脆弱性調査を進める内容が中心です。
OpenWrtのほか、iOSやAndroid、Samsung Exynosベースバンドも題材です。実機で試しにくい組み込みソフトウェアをQEMU上で調べたい人には、具体的な事例が参考になります。
CとPythonに加え、LinuxとOS、シェルの基本が前提です。コンパイルやデバッグの経験も必要なので、CやLinuxに慣れていればAFL++の実践へ進みやすいでしょう。参考価格は$51.99です。
脆弱性調査の流れ
From Day Zero to Zero Dayは2025年刊行、344ページのペーパーバックです。脆弱性調査を広く扱い、コードベースやプロトコル、ファイル形式から調査対象を探す段階も学べます。
ファジングはQuick and Dirty Fuzzing、Coverage-Guided Fuzzing、Fuzzing Everythingの3章で取り上げられます。AFL++のほか、libFuzzer、OSS-Fuzz、FormatFuzzerも関連ツールとして扱われています。
過去のCVE調査やシンボリック実行に触れ、バリアント分析とPoCの構築・検証も扱います。クラッシュを脆弱性として説明し、再現できる形にまとめる流れを学びたい人におすすめです。参考価格は$59.99です。
通信を掘り下げる
Attacking Network Protocolsは2017年刊行、336ページの書籍です。通信のキャプチャからプロトコル構造や暗号の分析へ進みます。ネットワーク通信の調査が主題です。
静的・動的なプロトコル分析からファジングとデバッグまで扱い、脆弱性の発見や悪用にも触れています。パケットを観察して通信構造を調べたい人や、ネットワーク機器、独自プロトコルをテストする人に役立ちます。
本書は通信経路やプロトコルの理解に重点を置いています。出版社ページからサンプルコードをダウンロードできます。参考価格は$59.99で、ネットワークを軸に学びたい人におすすめです。
Web APIの検証
Hacking APIsは2022年刊行、368ページの書籍です。REST、SOAP、GraphQLを対象に、APIユーザーやエンドポイントを調べます。リクエスト値を変えて異常な応答を探す演習も含まれます。
演習ではPostman、Burp Suite、Wfuzzを使い、脆弱なAPIを使ったガイド付きラボにも取り組めます。ペイロードを変えて応答を観察する流れを、手を動かしながら学べる構成です。
エンドポイント単位で検査したいWeb開発者やテスターにおすすめです。AFL++を使ったファームウェア調査とは対象が異なり、本書ではWeb APIの脆弱性検証を学べます。参考価格は$59.99です。
結論
QEMU上でIoTファームウェアにAFL++を試すなら、Fuzzing Against the Machineをまず検討してください。脆弱性調査の流れまで知りたい人には、From Day Zero to Zero Dayがおすすめです。
開発チームのテスト設計や評価軸を学ぶなら品質保証の本、通信やWeb APIを調べるなら対象に特化した本が役立ちます。扱う領域に合わせて、ファジングの知識を広げられます。
一冊に絞るなら、今扱っているソフトウェアに近い題材を選んでください。AFL++の操作を急ぐ人にはIoT編、調査全体を押さえたい人には2025年刊の脆弱性調査編が、実務につなげやすい選択です。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
