缓冲区溢出以及缓冲区溢出攻击

缓冲区溢出是指当计算机程序向缓冲区内填充的数据位数超过了缓冲区本身的容量。溢出的数据覆盖在合法数据上。理想情况是，程序检查数据长度并且不允许输入超过缓冲区长度的字符串。但是绝大多数程序都会假设数据长度总是与所分配的存储空间相匹配，这就为缓冲区溢出埋下隐患。

操作系统所使用的缓冲区又被称为堆栈，在各个操作进程之间，指令被临时存储在堆栈当中，堆栈也会出现缓冲区溢出。 当一个超长的数据进入到缓冲区时，超出部分就会被写入其他缓冲区，其他缓冲区存放的可能是数据、下一条指令的指针，或者是其他程序的输出内容，这些内容都被覆盖或者破坏掉。可见一小部分数据或者一套指令的溢出就可能导致一个程序或者操作系统崩溃。

    #include <stdio.h>
    #include <string.h>
    #include <iostream>  

    using namespace std;  

    int main(int argc, char *argv[])
    {
        char buf[10];
        strcpy(buf, argv[1]);
        cout<<buf;
        return 0;
    }  

连续输入20个字符就产生了溢出。

C语言常用的strcpy、sprintf、strcat 等函数都非常容易导致缓冲区溢出问题。

程序运行时，其内存里面一般都包含这些部分：

(1)程序参数和程序环境；

(2)程序堆栈(堆栈则比较特殊，主要是在调用函数时来保存现场，以便函数返回之后能继续运行)，它通常在程序执行时增长，一般情况下，它向下朝堆增长。

(3)堆，它也在程序执行时增长，相反，它向上朝堆栈增长；

(4)BSS 段，它包含未初始化的全局可用的数据（例如，全局变量）；

(5)数据段，它包含初始化的全局可用的数据（通常是全局变量）；

(6)文本段，它包含只读程序代码。

BSS、数据和文本段组成静态内存：在程序运行之前这些段的大小已经固定。程序运行时虽然可以更改个别变量，但不能将数据分配到这些段中。

以下面的程序为例：

    #include <stdio.h>  

    char buf[3] = "abc";
    int i;  

    int main()
    {
        i = 1;
        return 0;
    }  

其中，i属于BBS段，而buf属于数据段。两者都属于静态内存，因为他们在程序中虽然可以改变值，但是其分配的内存大小是固定的，如buf的数据大于三个字符，将会覆盖其他数据。

与静态内存形成对比，堆和堆栈是动态的，可以在程序运行的时候改变大小。堆的程序员接口因语言而异。在C语言中，堆是经由malloc()和其它相关函数来访问的，而C++中的new运算符则是堆的程序员接口。堆栈则比较特殊，主要是在调用函数时来保存现场，以便函数返回之后能继续运行。

缓冲区溢出的一个致命的使用就是让程序执行它本来不愿意执行的函数。这是一种常见的通过计算机网络攻击系统安全的方法。通常，输入给程序一个字符串，这个字符串包含一些可执行代码的字节编码，成为攻击代码。另外，还有一些字节会用一个指向攻击代码的指针覆盖返回地址。那么，执行ret指令的效果就是跳转到攻击代码。My god, 黑客顺利侵入。

一种攻击形式，攻击代码会使用系统调用启动一个外壳程序，给攻击者提供一组操作系统函数。

另一种攻击形式，攻击代码会执行一些未授权的任务，修复对栈的破坏，然后第二次执行ret指令，（表面上正常返回给调用者）。

那么如何防护/对抗缓冲区溢出攻击？

（1）栈随机化（主要受linux系统版本限制，老版本不支持栈随机化）：使得栈的位置在程序每次运行时都有变化。为了在系统插入攻击代码，攻击者不但要插入代码，还需要插入指向这段代码的指针（指向攻击代码的首地址/栈地址），这个指针也是攻击字符串的一部分。产生这个指针需要知道这个字符串放置的栈地址。老的系统版本，如果在相同的系统运行相同的程序，栈的位置是相当固定的。所以黑客可以在一台机器上研究透系统上的栈是如何分配地址的，就可以入侵其它主机。

实现的方式：程序开始时，在栈上分配一段0~n字节之间的随机大小的空间。分配的范围n必须足够大，才能获得足够多样的栈地址变化，但是又要足够小，不至于浪费程序太多的空间。tradeoff。

（2）栈破坏检测（主要受GCC版本的限制，老的GCC版本不支持栈破坏检测）：检测到何时栈被破坏。从strcpy等函数我们可以看到，破坏通常发生在当超越局部缓冲区的边界时。在C语言中，没有可靠的方法来防止对数组的越界写。但是，我们能够在发生了越界写的时候，并且，在其还没有造成任何有害结果之前，尝试检测到它，并且把程序终止。

实现的方式：金丝雀，加入一种栈保护机制。 在栈帧中，紧接着局部缓冲区的位置放置一个哨兵（金丝雀），哨兵值是随机产生的，攻击者没有简单的方法能够知道它是什么。在恢复寄存器状态和函数返回之 前，程序检查这个金丝雀的值是否发生改变，如果发生改变立即终止程序。《深入理解操作系统》P182页，有一个特别好的例子。

（3）限制可执行代码区域（主要受硬件版本的限制，需要硬件支持）：消除攻击者向系统插入可执行代码的能力，一种方法是：限制那些能够存放可执行代码的存储器区域。在典型的系统中，只有保存编译器产生的代码的那部分存储器才需要是可执行的，其它部分可以被限制为只允许读和写。

一般的系统允许三种访问的形式：读（从存储器读数据）、写（存储数据到存储器）和执行（将存储器的内容看作是机器级代码）。以前，x86体系结构将读和执行访问控制合并为1位的标志，这样任何被标记为可读的页都是可执行的。栈又要求必须是既可以读又可以写的，所以x86体系结构栈上的字节都是可执行的。也有一些体制，能够限制一些页是可读但是不可执行，但是这些体制一般都会带来严重的性能损失。

实现的方式：AMD为它的64位存储器的内容保护引入了“NX”（No-eXecute，不执行）位，将读和执行访问模式分开，intel也跟进了。从这开始，栈可以被标记为可读、可写，但是不可执行。检查页是否可执行由硬件来完成，效率上没有损失。