发布于 由admin

C++ 栈溢出保护（Stack Canary）：编译期与运行时防御机制

哈喽，各位好！今天咱们来聊聊C++里的一项重要安全特性：栈溢出保护，也就是大名鼎鼎的Stack Canary。别被这名字吓到，其实它就像矿井里的金丝雀一样，用来提前预警危险。

一、什么是栈溢出？（先打个预防针）

在深入Canary之前，咱们先快速回顾一下什么是栈溢出。想象一下，你的程序在内存里开辟了一块叫做“栈”的地方，用来存放函数调用时的局部变量、返回地址等信息。栈就像一摞盘子，后放的在上边，先放的在下边。

栈溢出，简单来说，就是你往这个盘子里放的东西太多了，超过了盘子的容量，溢出来了！更糟糕的是，如果这个溢出的东西覆盖了栈上的返回地址，那么当函数执行完毕准备返回时，就会跳转到被覆盖的地址，这可能会导致程序崩溃，甚至被恶意利用执行恶意代码。

举个例子：

#include <iostream>
#include <cstring>

void vulnerable_function(char *input) {
  char buffer[10];
  strcpy(buffer, input); // 危险！strcpy不检查边界
  std::cout << "Buffer: " << buffer << std::endl;
}

int main() {
  char long_string[] = "AAAAAAAAAAAAAAAAAAAA"; // 长度超过buffer的10个字节
  vulnerable_function(long_string);
  return 0;
}

在这个例子里，strcpy函数会把long_string的内容拷贝到buffer里，但buffer只有10个字节的容量。long_string有21个字节（包括null terminator），所以会发生溢出，覆盖栈上其他的数据，包括返回地址。

二、Stack Canary：矿井里的金丝雀

OK，现在我们知道了栈溢出的危害，那么Stack Canary又是怎么来保护我们的呢？

Canary，又叫栈保护，它的原理很简单：在栈上函数返回地址之前放置一个随机值（也就是Canary）。在函数返回之前，检查Canary的值是否被修改。如果被修改了，说明发生了栈溢出，程序会采取措施（比如立即终止），防止恶意代码执行。

形象一点说：

想象栈是一个盘子，Canary就是你在盘子边缘放的一个小玩具。如果往盘子里放的东西太多，玩具就会被挤掉。在取盘子的时候，你会先看看玩具还在不在。不在了？那就说明盘子里的东西放太多了，有问题！

三、编译期与运行时的双重防御

Stack Canary不仅仅是一个技术，它更像是一种策略，涉及到编译期和运行时的协同工作。

  1. 编译期：Canary的插入

    编译器的任务是在每个函数的栈帧上插入Canary。具体来说，编译器会在函数入口处执行以下操作：

    • 生成一个随机值（Canary）： 这个值是随机的，而且每次程序启动都可能不一样，这样可以增加攻击难度。
    • 将Canary值保存到栈上： 就在返回地址之前。
    • 将Canary值保存到一个安全的地方（全局变量）： 方便后面进行比较。

  2. 运行时：Canary的校验

    在函数即将返回之前，编译器会插入一段代码来检查Canary的值是否被修改。具体来说，会执行以下操作：

    • 从栈上读取Canary值。
    • 从全局变量中读取原始的Canary值。
    • 比较这两个值。
    • 如果值不相等，说明发生了栈溢出，程序会调用一个错误处理函数（比如__stack_chk_fail）来终止程序。
    • 如果值相等，说明栈没有被破坏，函数可以安全返回。

代码示例（简化版）：

#include <iostream>

// 模拟全局Canary值
unsigned long global_canary;

// 初始化Canary
void init_canary() {
  //  生产随机canary
  global_canary = 0xDEADBEEF; // 这是一个示例值，实际应该使用更随机的值
  std::cout << "Canary initialized: 0x" << std::hex << global_canary << std::endl;
}

// 模拟易受攻击的函数
void vulnerable_function(char *input) {
  // 模拟在栈上分配空间
  char buffer[10];

  // 模拟在返回地址前放置Canary
  unsigned long local_canary = global_canary;

  // 模拟栈溢出
  strcpy(buffer, input);

  // 模拟检查Canary
  if (local_canary != global_canary) {
    std::cerr << "Stack smashing detected!" << std::endl;
    exit(1); // 终止程序
  }

  std::cout << "Buffer: " << buffer << std::endl;
}

int main() {
  init_canary();
  char long_string[] = "AAAAAAAAAAAAAAAAAAAA";
  vulnerable_function(long_string);
  return 0;
}

这个例子做了简化，但它展示了Canary的基本原理：

  • global_canary 模拟全局存储的Canary值。
  • local_canary 模拟栈上的Canary值。
  • 在 vulnerable_function 函数中，strcpy 导致栈溢出，覆盖了 local_canary 的值。
  • 函数返回前，检查 local_canary 是否等于 global_canary，如果不等，就说明发生了栈溢出。

四、Canary的类型

Canary有几种常见的类型，不同的类型有不同的特点：

类型 说明
Terminator Canary 使用空字节（）、换行符（n）、回车符（r）、EOF（x1a）等作为Canary值。如果程序在拷贝字符串时遇到这些字符，就会停止拷贝，从而防止溢出。
Random Canary 使用一个随机数作为Canary值。这是最常见的Canary类型，安全性也比较高。
XOR Canary 将返回地址与一个随机数进行异或运算，结果作为Canary值。这样可以防止攻击者直接覆盖返回地址。

五、如何开启Stack Canary？

大多数编译器都支持Stack Canary。要开启Stack Canary，你需要在编译时添加相应的编译选项。

  • GCC/G++： -fstack-protector 或 -fstack-protector-all

    • -fstack-protector： 仅为那些容易受到攻击的函数启用保护。
    • -fstack-protector-all：为所有函数启用保护。

  • Clang： -fstack-protector 或 -fstack-protector-all (与GCC类似)

举个例子：

g++ -fstack-protector-all vulnerable.cpp -o vulnerable

这条命令会使用G++编译器编译vulnerable.cpp文件，并开启Stack Canary保护。

六、Stack Canary的优缺点

优点：

  • 简单有效： 实现简单，但可以有效地防止栈溢出攻击。
  • 兼容性好： 大多数编译器都支持Stack Canary。
  • 开销较低： 对性能的影响比较小。

缺点：

  • 不能防止所有类型的栈溢出： 例如，覆盖局部变量的栈溢出就无法检测到。
  • 可能被绕过： 如果攻击者能够泄漏Canary的值，就可以绕过保护。
  • 依赖编译器： 需要编译器的支持才能工作。

七、绕过Stack Canary的常见方法

虽然Stack Canary可以有效地防止栈溢出攻击，但攻击者仍然可能通过一些方法来绕过它。

  1. 信息泄漏：

    如果攻击者能够读取Canary的值（例如，通过格式化字符串漏洞），就可以在覆盖返回地址时，同时覆盖Canary的值，从而绕过保护。

    举个例子：

    如果程序中存在一个格式化字符串漏洞，攻击者可以使用%x格式符来读取栈上的数据，包括Canary的值。

  2. 覆盖局部变量：

    Canary只能检测到覆盖返回地址的栈溢出，如果攻击者只是覆盖了栈上的局部变量，而没有覆盖Canary，就无法检测到。

  3. 暴力破解：

    如果Canary的随机性不够强，攻击者可以通过暴力破解来猜测Canary的值。不过，现代编译器通常使用高强度的随机数生成器来生成Canary，所以暴力破解的难度很大。

  4. 修改Vtable（虚函数表）：
    如果程序使用了虚函数，攻击者可以通过栈溢出覆盖对象的虚函数表指针，使其指向恶意代码，从而控制程序的执行流程。

八、缓解绕过的方法

针对上述绕过方法，可以采取以下一些缓解措施：

  • 消除信息泄漏漏洞： 避免使用不安全的函数，例如printf、scanf等，并对用户输入进行严格的验证。
  • 使用更强的随机数生成器： 确保Canary的随机性足够强，防止被暴力破解。
  • 地址空间布局随机化（ASLR）： ASLR可以随机化程序的内存地址，包括栈的地址，从而增加攻击难度。
  • 数据执行保护（DEP）： DEP可以防止在数据区域执行代码，从而防止攻击者执行恶意代码。
  • 控制流完整性（CFI）： CFI 是一种更高级的防御机制，它通过验证程序的控制流是否符合预期来防止攻击。

九、总结

Stack Canary是C++中一种重要的安全特性，可以有效地防止栈溢出攻击。但是，它并不是万能的，仍然存在一些绕过方法。为了提高程序的安全性，我们需要综合使用多种防御机制，例如ASLR、DEP、CFI等，并消除程序中的漏洞。

用表格总结一下：

特性/概念 描述
栈溢出 向栈中写入超出分配空间的数据，可能覆盖返回地址等关键信息。
Stack Canary 在栈上返回地址之前放置一个随机值，在函数返回前检查该值是否被修改，以检测栈溢出。
编译期作用 插入Canary值到栈上，并保存Canary到全局变量。
运行时作用 在函数返回前，从栈上读取Canary，与全局变量中的原始Canary值比较，检测是否被修改。
常见Canary类型 Terminator Canary (使用, n等), Random Canary (随机数), XOR Canary (返回地址异或随机数)。
绕过方法 信息泄漏 (读取Canary值), 覆盖局部变量 (不覆盖Canary), 暴力破解 (猜测Canary值), 修改Vtable (虚函数表)。
缓解绕过 消除信息泄漏漏洞, 使用更强的随机数生成器, 启用ASLR, DEP, CFI等。
开启Canary 使用编译器选项，如-fstack-protector 或 -fstack-protector-all (GCC/Clang)。

希望今天的讲解能帮助大家更好地理解Stack Canary，并在实际开发中更好地保护我们的程序。记住，安全无小事，多一份防范，就少一份风险！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注