이 코드는 왜 버퍼 오버 플로우 공격에 취약합니까?

int func(char* str)
{
   char buffer[100];
   unsigned short len = strlen(str);

   if(len >= 100)
   {
        return (-1);
   }

   strncpy(buffer,str,strlen(str));
   return 0;
}

이 코드는 버퍼 오버플로 공격에 취약하며 이유를 알아 내려고 노력 중입니다. 나는 그것이 대신 len선언 된 것과 관련이 있다고 생각 하지만 실제로는 확실하지 않습니다.shortint

어떤 아이디어?

대부분의 컴파일러에서 최대 값 unsigned short은 65535입니다.

이 값을 초과하면 65536이 0이되고 65600이 65가됩니다.

이는 올바른 길이의 긴 문자열 (예 : 65600)이 검사를 통과하고 버퍼가 오버 플로우됨을 의미합니다.

사용 size_t의 결과를 저장하는 strlen()하지를, unsigned short및 비교 len바로의 크기를 인코딩한다는 표현 buffer. 예를 들어 :

char buffer[100];
size_t len = strlen(str);
if (len >= sizeof(buffer) / sizeof(buffer[0]))  return -1;
memcpy(buffer, str, len + 1);

문제는 여기 있습니다 :

strncpy(buffer,str,strlen(str));
                   ^^^^^^^^^^^

문자열이 대상 버퍼의 길이보다 큰 경우 strncpy는 여전히이를 복사합니다. 버퍼의 크기 대신 문자열의 문자 수를 복사 할 숫자로 지정합니다. 이를 수행하는 올바른 방법은 다음과 같습니다.

strncpy(buffer,str, sizeof(buff) - 1);
buffer[sizeof(buff) - 1] = '\0';

이것이하는 일은 버퍼의 실제 크기에서 널 종료 문자에 대한 1을 뺀 것으로 복사되는 데이터의 양을 제한합니다. 그런 다음 추가 된 보호 수단으로 버퍼의 마지막 바이트를 널 문자로 설정합니다. 그 이유는 strlenpy가 strlen (str) <len-1 인 경우 종료 널을 포함하여 최대 n 바이트까지 복사하기 때문입니다. 그렇지 않으면 널이 복사되지 않고 버퍼가 종료되지 않으므로 충돌 시나리오가 발생합니다. 끈.

도움이 되었기를 바랍니다.

편집 : 다른 사람의 추가 조사 및 입력시 기능에 대한 가능한 코딩은 다음과 같습니다.

int func (char *str)
  {
    char buffer[100];
    unsigned short size = sizeof(buffer);
    unsigned short len = strlen(str);

    if (len > size - 1) return(-1);
    memcpy(buffer, str, len + 1);
    buffer[size - 1] = '\0';
    return(0);
  }

문자열의 길이를 이미 알고 있으므로 memcpy를 사용하여 str이 참조하는 위치에서 버퍼로 문자열을 복사 할 수 있습니다. strlen (3)의 매뉴얼 페이지 (FreeBSD 9.3 시스템)에 따라 다음이 언급됩니다.

 The strlen() function returns the number of characters that precede the
 terminating NUL character.  The strnlen() function returns either the
 same result as strlen() or maxlen, whichever is smaller.

문자열의 길이에 null이 포함되어 있지 않다고 해석합니다. 그렇기 때문에 len + 1 바이트를 복사하여 null을 포함시키고 테스트는 길이 <buffer-2의 크기인지 확인합니다. 널을 위해.

편집 : 것으로 나타났습니다. 액세스가 0으로 시작하는 동안 무언가의 크기가 1로 시작하므로 98 바이트 이상이면 오류가 반환되지만 99 바이트 이상이어야합니다.

편집 : 부호없는 short에 대한 대답은 일반적으로 표현 할 수있는 최대 길이가 65,535 자이므로 정확하지만 문자열이 그보다 길면 값이 줄 바꿈되므로 실제로 중요하지 않습니다. 75,231 (0x000125DF)을 가져 와서 상위 16 비트를 마스킹하여 9695 (0x000025DF)를 제공하는 것과 같습니다. 길이 확인으로 복사가 가능하기 때문에 65,535 이후의 첫 100 문자는이 문제로 볼 수 있지만 문제는 문자열의 처음 100 자까지만 복사하고 null은 문자열을 종료합니다 . 따라서 랩 어라운드 문제가 있어도 버퍼가 여전히 오버플로되지 않습니다.

이것은 문자열의 내용과 사용하는 내용에 따라 보안 위험을 초래할 수도 있고 그렇지 않을 수도 있습니다. 사람이 읽을 수있는 단순한 텍스트라면 일반적으로 문제가 없습니다. 당신은 잘린 문자열을 얻습니다. 그러나 URL이나 SQL 명령 시퀀스와 같은 것이면 문제가있을 수 있습니다.

을 사용하더라도 strncpy컷오프의 길이는 여전히 전달 된 문자열 포인터에 따라 다릅니다. 그 문자열의 길이 (포인터에 대한 null 종결 자의 위치)를 모릅니다. 따라서 전화 strlen만하면 취약점이 생길 수 있습니다. 보다 안전하게하려면을 사용하십시오 strnlen(str, 100).

수정 된 전체 코드는 다음과 같습니다.

int func(char *str) {
   char buffer[100];
   unsigned short len = strnlen(str, 100); // sizeof buffer

   if (len >= 100) {
     return -1;
   }

   strcpy(buffer, str); // this is safe since null terminator is less than 100th index
   return 0;
}

포장에 대한 답이 맞습니다. 그러나 if (len> = 100)라고 언급되지 않은 문제가 있습니다.

Len이 100이라면 우리는 100 개의 요소를 복사 할 것입니다. 즉, 적절한 종료 문자열에 따라 다른 함수가 원래 배열을 넘어서는 것을 의미합니다.

C에서 문제가되는 문자열은 해결할 수 없습니다. 통화하기 전에 항상 약간의 제한이 있지만 더 도움이되지 않습니다. 경계 검사가 없으므로 버퍼 오버플로는 항상 발생할 수 있으며 불행히도 발생합니다 ....

strlen두 번 이상 호출하는 것과 관련된 보안 문제 외에도 일반적으로 길이가 정확하게 알려진 문자열에는 문자열 메서드를 사용하지 않아야합니다. [대부분의 문자열 함수의 경우 최대 길이 인 문자열에서 사용해야하는 경우는 매우 좁습니다. 길이는 보장 할 수 있지만 정확한 길이는 알려져 있지 않습니다]. 입력 문자열의 길이를 알고 출력 버퍼의 길이를 알면 영역을 복사해야하는 크기를 파악한 다음 memcpy()실제로 해당 복사를 수행하는 데 사용해야 합니다. 1-3 바이트 정도의 문자열을 복사 할 때 strcpy성능이 저하 memcpy()될 수 있지만 많은 플랫폼 memcpy()에서 더 큰 문자열을 처리 할 때 속도가 두 배 이상 빠를 수 있습니다.

보안 성능의 비용으로 올 것 어떤 상황이 있지만, 이것은 보안 접근 방식 인 상황 도 빨리 하나. 경우에 따라 이상하게 동작하는 입력에 대해 안전하지 않은 코드를 작성하는 것이 합리적 일 수 있습니다. 입력을 제공하는 코드가 올바르게 동작하는지 확인하고 동작이 잘못된 입력에 대해 보호하면 성능이 저하 될 수 있습니다. 문자열 길이를 한 번만 확인하면 성능과 보안 이 모두 향상 되지만 문자열 길이를 수동으로 추적 할 때도 보안을 유지하기 위해 추가로 한 가지 추가 작업을 수행 할 수 있습니다. 후행 null이있는 모든 문자열에 대해 후행 null을 명시 적으로 작성하십시오 소스 문자열을 기대하는 것보다. 따라서, strdup동등한 것을 쓰고 있다면 :

char *strdupe(char const *src)
{
  size_t len = strlen(src);
  char *dest = malloc(len+1);
  // Calculation can't wrap if string is in valid-size memory block
  if (!dest) return (OUT_OF_MEMORY(),(char*)0); 
  // OUT_OF_MEMORY is expected to halt; the return guards if it doesn't
  memcpy(dest, src, len);      
  dest[len]=0;
  return dest;
}

memcpy가 len+1바이트를 처리 한 경우 마지막 명령문은 일반적으로 생략 될 수 있지만 다른 스레드는 소스 문자열을 수정하여 NUL이 아닌 대상 문자열 일 수 있습니다.