なぜこのコードはバッファオーバーフロー攻撃に対して脆弱なのですか？

int func(char* str)
{
   char buffer[100];
   unsigned short len = strlen(str);

   if(len >= 100)
   {
        return (-1);
   }

   strncpy(buffer,str,strlen(str));
   return 0;
}

このコードはバッファオーバーフロー攻撃に対して脆弱であり、私はその理由を理解しようとしています。の代わりにとlen宣言されていることに関係していると思いますが、本当にわかりません。shortint

何か案は？

ほとんどのコンパイラーの最大値unsigned shortは65535です。

それ以上の値はラップされるため、65536は0になり、65600は65になります。

つまり、適切な長さの長い文字列（65600など）はチェックに合格し、バッファがオーバーフローします。

not size_tの結果を格納し、のサイズを直接エンコードする式と比較するために使用します。だから例えば：strlen()unsigned shortlenbuffer

char buffer[100];
size_t len = strlen(str);
if (len >= sizeof(buffer) / sizeof(buffer[0]))  return -1;
memcpy(buffer, str, len + 1);

問題はここにあります：

strncpy(buffer,str,strlen(str));
                   ^^^^^^^^^^^

文字列がターゲットバッファーの長さより長い場合でも、strncpyはそれをコピーします。バッファのサイズではなく、文字列の文字数をコピーする数として使用しています。これを行う正しい方法は次のとおりです。

strncpy(buffer,str, sizeof(buff) - 1);
buffer[sizeof(buff) - 1] = '\0';

これにより、コピーされるデータの量は、バッファーの実際のサイズからnull終了文字の1を引いたものに制限されます。次に、追加の保護手段として、バッファーの最後のバイトをnull文字に設定します。この理由は、strlen（str）<len-1の場合、strncpyは終端のnullを含めてnバイトまでコピーするためです。そうでない場合、nullはコピーされず、バッファが終了していないためクラッシュシナリオが発生します。ストリング。

お役に立てれば。

編集：さらに調査し、他のユーザーから入力すると、関数の可能なコーディングは次のようになります。

int func (char *str)
  {
    char buffer[100];
    unsigned short size = sizeof(buffer);
    unsigned short len = strlen(str);

    if (len > size - 1) return(-1);
    memcpy(buffer, str, len + 1);
    buffer[size - 1] = '\0';
    return(0);
  }

文字列の長さがわかっているので、memcpyを使用して、strによって参照される場所から文字列をバッファにコピーできます。strlen（3）のマニュアルページ（FreeBSD 9.3システム上）では、次のように述べられています。

 The strlen() function returns the number of characters that precede the
 terminating NUL character.  The strnlen() function returns either the
 same result as strlen() or maxlen, whichever is smaller.

文字列の長さにnullが含まれていないと私は解釈します。そのため、len + 1バイトをコピーしてnullを含め、テストでは、長さ<バッファーのサイズ-2であることを確認します。バッファーが位置0から始まるため、マイナス1と、スペースがあることを確認するためにもう1つマイナスします。ヌル。

編集：結局のところ、何かのサイズは1で始まり、アクセスは0で始まるため、98バイトを超えるとエラーが返されるため、以前の-2は正しくありませんが、99バイトを超える必要があります。

編集：unsigned shortについての答えは、表現できる最大長が65,535文字であるため、通常は正しいですが、文字列がそれより長い場合、値が折り返されるため、実際には問題ではありません。これは、75,231（0x000125DF）を取得し、上位16ビットをマスクして9695（0x000025DF）を取得するようなものです。長さのチェックではコピーが許可されるため、これで私が見る唯一の問題は65,535を超える最初の100文字ですが、すべての場合に文字列の最初の100文字までしかコピーされず、文字列はnullで終了します。したがって、ラップアラウンドの問題があっても、バッファがオーバーフローすることはありません。

文字列の内容とそれを何に使用するかによって、これ自体がセキュリティリスクをもたらす場合とそうでない場合があります。人間が読めるのが単なるテキストの場合、通常は問題ありません。切り捨てられた文字列を取得するだけです。ただし、URLやSQLコマンドシーケンスなどの場合は、問題が発生する可能性があります。

を使用している場合でもstrncpy、カットオフの長さは渡された文字列ポインターに依存します。その文字列の長さ（ポインタに対するヌルターミネータの位置）がわかりません。したがって、strlen一人で電話をかけると、脆弱性が高まります。より安全にしたい場合は、を使用してくださいstrnlen(str, 100)。

修正される完全なコードは次のとおりです。

int func(char *str) {
   char buffer[100];
   unsigned short len = strnlen(str, 100); // sizeof buffer

   if (len >= 100) {
     return -1;
   }

   strcpy(buffer, str); // this is safe since null terminator is less than 100th index
   return 0;
}

ラッピングの答えは正しいです。しかし、私が言及しなかったと思う問題があります（len> = 100）

Lenが100の場合、100要素をコピーし、末尾の\ 0はありません。それは明らかに、適切に終了した文字列に依存する他の関数が元の配列をはるかに超えることを意味します。

Cから問題のある文字列は、私見では解決できません。電話をかける前に、いくつかの制限を設定することをお勧めしますが、それでも助けにはなりません。境界チェックがないため、バッファオーバーフローは常に発生する可能性があり、残念ながら発生します。

strlen複数回の呼び出しに関連するセキュリティの問題を超えて、長さが正確にわかっている文字列に対して文字列メソッドを一般的に使用しないでください[ほとんどの文字列関数では、それらを使用する必要がある本当に狭いケースがあります-最大の文字列に対して長さは保証されますが、正確な長さは不明です]。入力文字列の長さと出力バッファの長さがわかったら、コピーする領域の大きさを把握し、それを使用memcpy()して問題のコピーを実際に実行する必要があります。可能ですがstrcpyアウトパフォームする可能性があるmemcpy()だけで1-3バイト程度の文字列をコピーするとき、多くのプラットフォーム上でmemcpy()大きな文字列を扱うときより2倍の速さである可能性が高いです。

セキュリティは、性能を犠牲に来るいくつかの状況がありますが、これは安全なアプローチがある状況でも速い1。場合によっては、奇妙な動作をする入力に対して安全ではないコードを書くことは妥当です。入力を提供するコードが正しく動作することを保証でき、動作が正しくない入力を防ぐとパフォーマンスが低下する場合です。文字列の長さが1回だけチェックされるようにすると、パフォーマンスとセキュリティの両方が向上しますが、文字列の長さを手動で追跡する場合でも、セキュリティを保護するために追加の処理を行うことができます。末尾のnullがあると予想されるすべての文字列に対して、末尾のnullを明示的に書き込みますソース文字列にそれがあることを期待するよりも。したがって、strdup同等のものを作成している場合：

char *strdupe(char const *src)
{
  size_t len = strlen(src);
  char *dest = malloc(len+1);
  // Calculation can't wrap if string is in valid-size memory block
  if (!dest) return (OUT_OF_MEMORY(),(char*)0); 
  // OUT_OF_MEMORY is expected to halt; the return guards if it doesn't
  memcpy(dest, src, len);      
  dest[len]=0;
  return dest;
}

memcpyがlen+1バイトを処理した場合、通常、最後のステートメントは省略できますが、別のスレッドがソース文字列を変更すると、結果はNULで終了しない宛先文字列になる可能性があります。