Ответ 1

• Чтение из потока

Тот факт, что getline() "будет автоматически увеличивать блок памяти по мере необходимости" означает, что это может быть использовано как атака отказа в обслуживании, так как было бы тривиально генерировать ввод, который был так долго исчерпайте доступную память для процесса (или, что еще хуже, систему!). После возникновения проблемы нехватки памяти другие уязвимости также могут вступить в игру. Поведение кода в low/no memory редко бывает приятным и очень трудно предсказать. IMHO безопаснее устанавливать разумные верхние границы во всем, особенно в приложениях, чувствительных к безопасности.

Кроме того (как вы ожидаете, отметив специальные символы), getline() предоставляет только буфер; он не дает никаких гарантий относительно содержимого буфера (поскольку безопасность полностью зависит от приложения). Поэтому дезинфекция ввода по-прежнему является важной частью обработки и проверки пользовательских данных.

2. sscanf

Я бы предпочел использовать библиотеку регулярных выражений и иметь очень узко определенные регулярные выражения для пользовательских данных, а не использовать sscanf. Таким образом, вы можете выполнить большую проверку во время ввода.

3. Общие комментарии

   • Доступны функции Fuzzing, которые генерируют случайный ввод (как действительный, так и недействительный), который можно использовать для проверки обработки ввода
   • Управление буфером имеет решающее значение: переполнение буфера, недополнение, нехватка памяти
   • Условия гонки могут быть использованы в защищенном коде
   • Двоичные файлы могут быть обработаны для ввода недопустимых значений или негабаритных значений в заголовки, поэтому код формата файла должен быть прочным и не предполагать, что бинарные данные действительны.
   • Временные файлы часто могут быть источником проблем безопасности и должны быть тщательно управляемы
   • Вставка кода может использоваться для замены вызовов библиотеки системы или среды выполнения вредоносными версиями
   • Плагины предоставляют огромный вектор для атаки
   • В качестве общего принципа я хотел бы предложить четко определенные интерфейсы, в которых пользовательские данные (или любые данные извне приложения) считаются недействительными и враждебными до тех пор, пока они не будут обработаны, дезинфицированы и не проверены, и единственный способ ввода пользовательских данных приложение

Ответ 2

Я думаю, что ваш пример sscanf ошибочен. Он может все еще переполняться при использовании таким образом.

Попробуйте это, в котором указано максимальное количество прочитанных байтов:

void main(int argc, char **argv)
{
  char buf[256];
  sscanf(argv[0], "%255s", &buf);
}

Взгляните на эту статью IBM dev о защите от переполнения буфера.

В терминах тестирования я бы написал программу, которая генерирует случайные строки случайной длины и передает их в вашу программу, и убедитесь, что они обработаны соответствующим образом.

Ответ 3

G'day,

Хорошее место, чтобы начать смотреть на это, Дэвид Уилер превосходно защищает сайт кодирования.

Его бесплатная онлайн-книга "" Безопасное программирование для Linux и Unix HOWTO "" - отличный ресурс, который регулярно обновляется.

Вам также может понравиться его отличный статический анализатор FlawFinder, чтобы получить дополнительные подсказки. Но помните, что ни один автоматизированный инструмент не заменяет хорошую пару опытных глаз, или, как Дэвид так красочно ставит его.

Любой инструмент статического анализа, такой как Flawfinder, является всего лишь инструментом. Никакой инструмент не может заменить человеческую мысль! Короче говоря, "дурак с инструментом все еще дурак" . Ошибочно думать, что инструменты анализа (например, flawfinder) заменяют обучение и знание безопасности

Я лично использовал ресурсы Дэвида уже несколько лет и считаю их отличными.

НТН

веселит,

Ответ 4

Небезопасное программирование по примеру
блог с несколькими ответами

Ответ 5

Янник Мой разработал самую слабую систему предустановок Hoare/Floyd для C во время его PhD и применил ее к библиотеке управляемых строк CERT. Он нашел множество ошибок (см. Стр. 197 его мемуаров). Хорошей новостью является то, что библиотека теперь более безопасна для его работы.

Ответ 6

Вы также можете посмотреть на веб-сайте Les Hatton здесь и в его книге Безопаснее C, которую вы можете получить из Амазонки.

Ответ 7

Не используйте gets() для ввода, используйте fgets(). Чтобы использовать fgets(), если ваш буфер автоматически назначен (т.е. "В стеке" ), используйте эту идиому:

char buf[N];
...
if (fgets(buf, sizeof buf, fp) != NULL)

Это будет продолжаться, если вы решите изменить размер buf. Я предпочитаю эту форму:

#define N whatever
char buf[N];
if (fgets(buf, N, fp) != NULL)

потому что первая форма использует buf для определения второго аргумента и более ясна.

Проверить возвращаемое значение fclose().