一句話總結

不工作比我想像中還難。

亮點

• 我發現要不工作出乎意料地困難。
• 睡眠狀況稍微改善了。
• 我用 Nix 打造了一個俐落、可重複使用的模糊測試工作流程。

目標成績單

每個月月初，我都會訂下想完成的事。以下是這次目標的達成狀況：

好好享受家庭時光

• 結果：花了很多時間陪伴太太和剛出生的兒子，也常和親朋好友見面。
• 評分：A

暫時不工作一下也沒關係

我從來不覺得自己是那種非得一直工作不可的人，但我卻發現要好好休假其實很不容易。

回顧過去三個月在工作上少得可憐的進度，我就會感到焦慮：「要是這就是我的新常態怎麼辦？要是往後每個月只能擠出幾個小時工作，卻得靠這樣養家活口怎麼辦？」

我知道這些擔心大多是杞人憂天。明明很多人都有小孩——大家一樣正常上下班，也都過得好好的。更何況，我附近還有很多家人很樂意幫忙照顧小孩。

回頭看看時間都花去哪了，就更覺得自己擔心沒時間工作很可笑：盡是和家人朋友長時間相聚，以及全家一起從事各種有趣的活動。

如果狀況是「天啊！光是餵奶、換尿布和補眠就完全沒時間了！」那也就算了。但實際上，我的反應比較像是：「天啊！昨天光是三小時的早午餐加上和朋友聚會七小時，就害我沒時間寫部落格了！」

另一個原因是，我招待客人與拜訪他人的時間比平常多太多了，所以部分的焦慮其實只是內向者在過多社交之後的疲憊。

所以，我得不斷提醒自己，暫時不工作一下也沒關係，等兒子再大一點，我自然會有更多時間，而且目前我在時間運用上大致上還是有主導權的。

調整我們的新生兒睡眠策略

身為新手父母，談論睡眠感覺有點老套，因為每個新手爸媽好像都莫名地執著於睡覺這件事。但好的睡眠對我們的日常生活影響真的很大，我想這就是大家都在談它的原因吧。

一開始，我太太負責所有的餵奶，我則負責所有的換尿布。我們很快就發現，這代表晚上每隔 60 到 90 分鐘兩個人都得起床，結果誰都睡不好。

幾週後，我們改成輪班制，由一個人同時負責餵奶和換尿布，另一個人則負責睡覺。我負責第一班，大約是晚上 9 點到凌晨 2 點，兒子在凌晨 2 點後第一次醒來時就換我太太接手。這個改變帶來了大幅改善，因為它確保我們在輪休時都能有 4 到 5 小時不被打斷的睡眠，輪班期間也能斷斷續續再睡幾個小時。

我們也發現，認真做好睡眠衛生後，兒子睡得更好了。我們有時喜歡在晚餐後看一小時電視來放鬆，但我們注意到，沒看電視的那些晚上，大家都睡得更好，尤其是兒子。以前我習慣每天晚上在客廳一邊陪睡著的兒子，一邊看一兩個小時的書，但我們讀到開燈可能會影響嬰兒睡眠，所以就不再這麼做了，雖然我很懷念那段和他一起安靜閱讀的時光。

整體來說，我們的睡眠策略運作得不錯，我大多數日子都覺得休息得很充足。我們會隨著兒子睡眠狀況的變化、以及發現新的技巧，持續調整。

Nix 是個出乎意料適合模糊測試的好工具

大約十年前，我擔任資安顧問時，曾利用模糊測試在 VLC 中發現一個嚴重漏洞，也就是那款開源影片播放器。

過去十年間，模糊測試的相關工具已經大幅進步，所以我一直很想試試最新的技術發展到什麼程度。

我找到了 Antonio Morales 在 2021 年推出的模糊測試教學系列。它使用的是AFL++，我感覺它現在已經不是最頂尖的模糊測試工具了，但我還是開始跟著做。第一篇教學示範如何對xpdf這款開源 PDF 處理工具進行模糊測試。我修改了步驟，改為針對最新版本的 xpdf，結果發現了一個新的越界記憶體讀取錯誤，讓人很興奮。

後來發現，早在 2024 年 9 月就有人發現了同樣的漏洞，但那份報告被駁回了，因為更早之前就有人透過私人郵件向維護者回報過。我懷疑他們也是照著跟我一樣的教學找到這個漏洞的。在我發現這個系列幾週後，它登上了 Hacker News 首頁，看來大家不知怎麼地又偶然翻出了這個三年前的教學。

在所有模糊測試教學中，讓我印象最深刻的一點是，光是架設環境就非常麻煩。Morales 指示讀者要在特定版本的 Ubuntu 上從原始碼編譯 AFL++，但那些指示現在都已經過時了，因為他提到的所有套件自那時以來都已經改變了。

與其去一一找出 Morales 提到的那些套件版本，我看到了一個使用 Nix 的機會。它讓我可以在原始檔中鎖定工具版本，並確保未來它們不會在我不知情的情況下被更動。

我成功用 Nix flake 建立了整個模糊測試工作流程，所以我只要輸入 nix run，Nix 就會自動下載初始語料庫、編譯目標程式並開始進行模糊測試。我打算在本月稍晚發表一篇部落格文章，詳細說明整個流程的運作方式。

總結

完成了什麼？

• 享受了家庭時光。
• 擔心自己是不是花了太多時間在家庭上。

學到的經驗

• 擔心休太多假的恐懼大多是杞人憂天。
• Nix 是打造模糊測試工作流程的好工具。

下個月的目標

• 好好享受家庭時光。
• 發表我用 Nix 進行模糊測試的教學。

需要協助的地方

• 現在相當於 AFL++ 的現代工具是什麼？是honggfuzz 嗎？
  • 如果你在資安領域工作，歡迎告訴我現在最酷、最新的模糊測試工具是什麼。