用/GS选项开关防范缓冲区溢出漏洞
作者:Nick Wienholt
October 6, 2004
译者：吴秀祥
10.8.2004
(注：源文见：http://www.codeguru.com/columns/Kate/article.php/c8361/)
缓冲区溢出是当前一些软件存在的最常见的安全隐患之一，通过提供一个恶意的输入黑客可以改变进程的执行流程，缓冲区溢出能够威胁到整个进程，机器，甚至相关的系统领域。如果运行的进程是在权限比较高的用户下面，比如administrator或者本地的系统帐户(Local System Account),那么黑客破坏所导致的损失将会很严重而且将会面临更广泛的潜在危胁。最近时期爆发的一些众所周知的病毒像，红色代码病毒和震荡波蠕虫病毒，都是C/C++代码里存在着缓冲区溢出的结果。
缓冲区溢出是一个简单的编程错误---就是人们在拷贝一块内存区域的数据到另外一块区域时，目标区域空间太小而不能放下这些源数据。下面的代码演示了一个小的例子。
char* source = "A reasonably long string";
char dest[10];
::strcpy(dest, source);
在这个例子中，源字符串有25个字符长(包括一个null结束符)，对于定义在堆栈里的目标内存块将显得太长。当这段代码执行时，堆栈将变得混乱起来，通常程序将会访问违规而导致崩溃(crash)。如果源内存块是从外部提供的话，这将存在一个安全隐患，因为这使得人们可以利用这个内存块通过一些方式传入到函数内存。
在C/C++里面当调用函数时，函数的返回地址存放在堆栈里面，因此当被调用函数执行完成之后就会返回到这个地址开始继续执行。当调用一个潜在缓冲区溢出的函数时，返回地址可能被修改，执行流程将会跳转到缓冲区的数据指定的位置。通过修改函数的返回地址，一个攻击者能够执行进程中任意位置的代码。这通过利在两个方面：
1. 如果这个存在缺陷的应用程序是被广泛使用的话，攻击者能够找到一个在所有进程实例中有固定地址的函数，然后修改堆栈，以调用这个函数。
2. 如果能将执行的指令作为缓冲区的一部分，传进进程的地址空间，那么这个攻击者可以利用这点来达成一次攻击。
防范缓冲区溢出
最简单的防范措施就是限止被拷贝数据的长度，使得他不会比目标内存块的长度大。应用这项措施看起来像是微不足道的，事实上，他取决于人们的态度，就像早前的例子―――经验显示完全排除基于C/C++代码的程序的潜在的缓冲区溢出漏洞是一项几乎不可能完成的任务。使用拖管技术，像.Net和Java，对减少潜在的溢出漏洞是有积极意义的。但是是将无数的代码都迁移到这项技术经常是不可能或不适当的。>
基于堆栈的缓冲区溢出漏洞,如此容易被利用的原因是：函数的返回地址通过编译器生成的指令保存在堆栈。认识到这一点，那么编译器也在这个漏洞中扮演了一定的角色，Visua C++小组最近在对Visual C++.NET(7.0)的改进上可以适当的缓解这个问题。他们在存放函数返回地址之前，事先插入一个生成的互相知晓的值(cookie)在堆栈里面.通过使用这种技术，一个缓冲区溢出问题，更改函数返回址的时候，同样会覆盖掉这个值，而这个值在返回时是需要被检测的。当检测到一个修改后，一个安全的异常将会被抛出，如果这个异常没有被处理的话，进程将会退出，下面的代码演示了一个具有安全异常处理程序的骨干：
void _cdecl sec_handler( int code, void *)
{if ( code == _SECERR_BUFFER_OVERRUN )
{ printf("You had a buffer overrun\n"); exit(1); }} int main()
{ _set_security_error_handler( sec_handler );//main application code here
}
Visual C++ .NET 2003(7.1)通过移动易受攻击的数据结构，比如异常处理程序的址址，到堆栈的缓冲区下面，以增强防范缓冲区溢出的漏洞能力。在7.0版本的编译器，通过改变在缓冲区和安全值之间的敏感数据可以绕过安全值机制给提供的保护。然而，新版本的编译品通过移动这些数到缓冲区下面，利用缓冲区溢出修改这些数据是不可能的了。
Figure 1: Logical Stack Layout
除了将异常处理信息移动到堆栈的数据缓冲区下面，Visual C++.NET2003连接器同时将所有的结构化异常处理程序地址放到执行文件的头部。当一个异常发生时，操作系统能够找到存储在堆栈异常处理信息中和记录在执行文件头部信息中相符合的异常处理程序。如果不是这样，异常处理程序将得不到执行。Windows Server2003集成了检测结构化异常信息的能力，并且这个技术最近也应用到了Windows XP sp2中。
使用缓冲区保护
打开(激活)缓冲保护比较简单,只要通过打开编译器的/GS开关。使用Visual Studio,这个开关可以通过以下方式来激活：在C/C++页的Code Generation option page(参见下图).缺省下，这个设置在Debug配置中是关闭的在Release配置中是打开的。
安全的结构化异常处理缺省情况下是打开的，如果所有的程序都是使用最近版本的编译器编译并且生成结构化的异常信息然后来连接的话，对目标子系统是有信息的。Windows CE操作系统没有使用安全结构化的异常处理信息，字将不被包含进来如果目标系统不需要的话。/safeseh:NO命令行开关可用于关闭结构化异常处理。在Visual Studio Project-setting中没有关闭安全结构化异常处理的设置选项，但是它可以通过命令行选项来关闭这个选项，来连接这个Visual Studio工程。
/GS与广泛的安全问题描述
一个讨厌的编译开关不会使得一个应用程序安全。它只能使得这个程序更加的安全，但是安全隐患来自于不同的形式。一个堆栈缓冲区溢出是一类重要的安全隐患所在，黑客用于攻击程序的技术远不止于此。尽管最初相对看起来是无害的，堆缓冲区溢出正成为一个周知的隐患，还有其他的攻击像：SQL injection(SQL语句注入)，Cross-site scripting,还有拒绝服务都可能得益于/GS选项的安全检查。
为了使用这种被Microsoft采用的技术,/GS和SAFESEH的是软件-强化的数据执行保护(DEP)。硬件-强化DEP同样对软件-强化DEP有补充作用的，如果某一页的内存被标记为no-executable(不能执行)时，处理器将拒绝执行指令。Windows XP SP2和windows Server2003 目前支持这些技术，但是其它一些处理器不支持这个标记。AMD和Intel在64位机器中高度支持这个NX(non-executable)技术，同时将来的 32位处理器可能增加对这种安全技术的支持
任何好的安全系统都有多层的防范机制以对付一些破坏者。编译器辅助，能防范或减少一般的编码错误隐患，可以作为一层机制来参加这个防范。通过这种容易使用且低成本的防范，是值得你在应用程序中使用的。