Warum ist es so schwierig, C weniger anfällig für Pufferüberläufe zu machen?

Ich mache einen College-Kurs, in dem eine der Übungen darin besteht, Pufferüberlauf-Exploits für Code durchzuführen, den sie uns geben. Dies reicht von einfachen Exploits wie dem Ändern der Rücksprungadresse für eine Funktion auf einem Stack, um zu einer anderen Funktion zurückzukehren, bis hin zu Code, der den Status eines Programmregisters / -speichers ändert, aber dann zu der von Ihnen aufgerufenen Funktion zurückkehrt Die von Ihnen aufgerufene Funktion kennt den Exploit nicht.

Ich habe einige Nachforschungen angestellt, und diese Arten von Exploits werden auch heute noch fast überall verwendet, zum Beispiel bei der Ausführung von Homebrew auf der Wii und dem Jailbreak ohne Tethering für iOS 4.3.1

Meine Frage ist, warum dieses Problem so schwer zu beheben ist? Es ist offensichtlich, dass dies ein wichtiger Exploit ist, der verwendet wird, um Hunderte von Dingen zu hacken, aber es scheint ziemlich einfach zu sein, Eingaben über die zulässige Länge hinaus zu kürzen und alle von Ihnen aufgenommenen Eingaben zu bereinigen.

BEARBEITEN: Eine andere Perspektive, über die ich Antworten haben möchte - warum beheben die Entwickler von C diese Probleme nicht, indem sie die Bibliotheken neu implementieren?

Sie haben die Bibliotheken repariert.

Jede modernen C - Standardbibliothek enthält sicherere Varianten strcpy, strcat, sprintf, und so weiter.

Auf C99-Systemen, bei denen es sich um die meisten Unix-Systeme handelt, finden Sie diese mit Namen wie strncatund snprintf, wobei das "n" angibt, dass ein Argument verwendet wird, das die Größe eines Puffers oder eine maximale Anzahl von Elementen hat, die kopiert werden sollen.

Diese Funktionen können verwendet werden, um viele Vorgänge sicherer abzuwickeln, aber im Nachhinein ist ihre Verwendbarkeit nicht großartig. Beispielsweise snprintfgarantieren einige Implementierungen nicht, dass der Puffer mit Null terminiert ist. strncatDas Kopieren erfordert eine Reihe von Elementen, aber viele Leute übergeben fälschlicherweise die Größe des Zielpuffers.

Unter Windows findet man oft die strcat_s, sprintf_sdie „_s“ Suffix , das „sicher“. Auch diese haben ihren Weg in die C-Standardbibliothek in C11 gefunden und bieten mehr Kontrolle darüber, was im Falle eines Überlaufs geschieht (z. B. Abschneiden vs. Bestätigen).

Viele Anbieter bieten noch mehr Nicht-Standard-Alternativen an, wie asprintfin der GNU libc, die automatisch einen Puffer mit der entsprechenden Größe zuweisen.

Die Idee, dass Sie "nur C reparieren" können, ist ein Missverständnis. C zu beheben ist nicht das Problem - und wurde bereits getan. Das Problem besteht darin, jahrzehntelangen C-Code zu reparieren, der von ignoranten, müden oder hastigen Programmierern geschrieben wurde, oder Code, der aus Kontexten portiert wurde, in denen Sicherheit keine Rolle spielte, in Kontexten, in denen Sicherheit keine Rolle spielt. Keine Änderungen an der Standardbibliothek können diesen Code beheben, obwohl die Migration auf neuere Compiler und Standardbibliotheken häufig dazu beiträgt, die Probleme automatisch zu identifizieren.

Es ist nicht wirklich ungenau zu sagen , dass C tatsächlich „fehleranfällig“ durch ist Design . Abgesehen von einigen schwerwiegenden Fehlern wie gets, kann die C-Sprache nicht anders sein, ohne das Hauptmerkmal zu verlieren, das die Leute an erster Stelle zu C zieht.

C wurde als Systemsprache entwickelt, um als eine Art "tragbare Baugruppe" zu fungieren. Ein Hauptmerkmal der C-Sprache ist, dass C-Code im Gegensatz zu höheren Sprachen häufig sehr genau dem tatsächlichen Maschinencode zugeordnet ist. Mit anderen Worten, es ++ihandelt sich in der Regel nur um eine incAnweisung, und Sie können häufig anhand des C-Codes eine allgemeine Vorstellung davon bekommen, was der Prozessor zur Laufzeit tun wird.

Das Hinzufügen impliziter Grenzwertprüfungen erhöht jedoch den Overhead, den der Programmierer nicht verlangt hat und möglicherweise nicht wünscht. Dieser Overhead geht weit über den zusätzlichen Speicherplatz hinaus, der zum Speichern der Länge jedes Arrays erforderlich ist, oder über die zusätzlichen Anweisungen zum Überprüfen der Array-Grenzen bei jedem Array-Zugriff. Was ist mit Zeigerarithmetik? Oder was ist, wenn Sie eine Funktion haben, die einen Zeiger aufnimmt? Die Laufzeitumgebung kann nicht erkennen, ob dieser Zeiger innerhalb der Grenzen eines legitim zugewiesenen Speicherblocks liegt. Um dies zu verfolgen, benötigen Sie eine seriöse Laufzeitarchitektur, die jeden Zeiger mit einer Tabelle der aktuell zugewiesenen Speicherblöcke vergleicht. Zu diesem Zeitpunkt befinden wir uns bereits im Bereich der verwalteten Java / C # -Stil-Laufzeit.

Ich denke , das eigentliche Problem ist , zu beheben nicht , dass diese Art von Fehlern hart ist, aber dass sie so einfach zu machen: Wenn Sie verwenden strcpy, sprintfund Freunde in die (scheinbar) einfachste Art und Weise, arbeiten kann, dann haben Sie wahrscheinlich öffnete die Tür für einen Pufferüberlauf. Und niemand wird es bemerken, bis jemand es ausnutzt (es sei denn, Sie haben sehr gute Codeüberprüfungen). Fügen Sie jetzt die Tatsache hinzu, dass es viele mittelmäßige Programmierer gibt und dass sie die meiste Zeit unter Zeitdruck stehen - und Sie haben ein Rezept für Code, das so voller Pufferüberläufe ist, dass es schwierig sein wird, sie alle zu beheben, nur weil es solche gibt so viele von ihnen und sie verstecken sich so gut.

Es ist schwierig, Pufferüberläufe zu beheben, da C praktisch keine nützlichen Tools zur Behebung des Problems bietet. Es ist ein grundlegender Sprachfehler, dass die nativen Puffer keinen Schutz bieten und es praktisch, wenn nicht sogar vollständig, unmöglich ist, sie durch ein überlegenes Produkt zu ersetzen, wie es C ++ mit std::vectorund getan hat std::array, und es ist selbst im Debug-Modus schwierig, Pufferüberläufe zu finden.

Das Problem liegt nicht in der C- Sprache .

IMO, das einzige große Hindernis, das es zu überwinden gilt, ist, dass C einfach schlecht unterrichtet ist . Jahrzehntelange Missbräuche und falsche Informationen wurden in Referenzhandbüchern und Vorlesungsskripten verankert und haben den Verstand jeder neuen Generation von Programmierern von Anfang an vergiftet. Die Schüler erhalten eine kurze Beschreibung der "einfachen" E / A-Funktionen wie gets¹ oder scanfund werden dann ihren eigenen Geräten überlassen. Ihnen wird nicht gesagt, wo oder wie diese Tools ausfallen können oder wie diese Ausfälle verhindert werden können. Ihnen wird nicht gesagt, wie man fgetsund benutztstrtol/strtodweil diese als "fortgeschrittene" Werkzeuge gelten. Dann werden sie in die Berufswelt entlassen, um ihr Chaos anrichten zu können. Nicht viele der erfahreneren Programmierer wissen es besser, weil sie die gleiche gehirngeschädigte Ausbildung erhalten haben. Es ist verrückt. Ich sehe hier und auf Stack Overflow und auf anderen Websites so viele Fragen, bei denen klar ist, dass die Person, die die Frage stellt, von jemandem unterrichtet wird, der einfach nicht weiß, wovon er spricht , und natürlich kann man das nicht einfach sagen "Ihr Professor ist falsch", weil er ein Professor ist und Sie nur ein Typ im Internet sind.

Und dann haben Sie die Menge, die jede Antwort, die mit "nun ja, gemäß dem Sprachstandard ..." beginnt, verachtet, weil sie in der realen Welt arbeiten und gemäß ihnen der Standard nicht für die reale Welt gilt . Ich kann mit jemandem umgehen, der nur eine schlechte Ausbildung hat, aber jeder, der darauf besteht , unwissend zu sein, ist nur eine Panne für die Branche.

Es würde keine Pufferüberlaufprobleme geben, wenn die Sprache korrekt unterrichtet würde , wobei der Schwerpunkt auf dem Schreiben von sicherem Code liegt. Es ist nicht "schwer", es ist nicht "fortgeschritten", es ist nur vorsichtig.

Ja, das war eine Schande.

Das Problem liegt in der Kurzsichtigkeit des Managements und nicht in der Inkompetenz der Programmierer. Denken Sie daran, dass eine Anwendung mit 90.000 Zeilen nur einen unsicheren Vorgang benötigt, um vollständig unsicher zu sein. Es ist fast unmöglich, dass eine Anwendung, die über eine grundlegend unsichere String-Behandlung geschrieben wurde, zu 100% perfekt ist - was bedeutet, dass sie unsicher ist.

Das Problem ist, dass die Kosten für die Unsicherheit entweder nicht dem richtigen Adressaten in Rechnung gestellt werden (das Unternehmen, das die App verkauft, muss den Kaufpreis so gut wie nie erstatten) oder zum Zeitpunkt der Entscheidungsfindung nicht klar ersichtlich sind ("Wir müssen versenden") im März egal was! "). Ich bin mir ziemlich sicher, dass das Schreiben in C oder verwandten Sprachen viel teurer wäre, wenn Sie die langfristigen Kosten und Kosten für Ihre Benutzer berücksichtigt hätten und nicht für Ihr Unternehmen. Wahrscheinlich so teuer, dass es in vielen Fällen eindeutig die falsche Wahl ist Felder, in denen heutzutage konventionelle Weisheit sagt, dass es eine Notwendigkeit ist. Dies wird sich jedoch erst ändern, wenn eine strengere Softwarehaftpflicht eingeführt wird - was niemand in der Branche wünscht.

Eine der großen Stärken von C ist, dass Sie damit das Gedächtnis so manipulieren können, wie Sie es für richtig halten.

Eine der großen Schwächen bei der Verwendung von C ist, dass Sie damit das Gedächtnis so manipulieren können, wie Sie es für richtig halten.

Es gibt sichere Versionen von unsicheren Funktionen. Programmierer und Compiler erzwingen ihre Verwendung jedoch nicht strikt.

Warum beheben die Entwickler von C diese Probleme nicht, indem sie die Bibliotheken neu implementieren?

Wahrscheinlich, weil C ++ dies bereits getan hat und abwärtskompatibel mit C-Code ist. Wenn Sie also einen sicheren Zeichenfolgentyp in Ihren C-Code einfügen möchten, verwenden Sie einfach std :: string und schreiben Ihren C-Code mit einem C ++ - Compiler.

Das zugrunde liegende Speichersubsystem kann dazu beitragen, Pufferüberläufe zu verhindern, indem Schutzblöcke eingeführt und deren Gültigkeit überprüft werden. Bei allen Zuordnungen werden also 4 Byte 'fefefefe' hinzugefügt. Wenn in diese Blöcke geschrieben wird, kann das System einen Wobbler auslösen. Es ist nicht garantiert, dass ein Speicherschreiben verhindert wird, aber es zeigt, dass ein Fehler aufgetreten ist und behoben werden muss.

Ich denke, das Problem ist, dass die alten strcpy usw.-Routinen noch vorhanden sind. Wenn sie zugunsten von strncpy usw. entfernt würden, würde das helfen.

Es ist leicht zu verstehen, warum das Überlaufproblem nicht behoben ist. C war in einigen Bereichen fehlerhaft. Zu der Zeit wurden diese Mängel als erträglich oder sogar als Merkmal angesehen. Jetzt, Jahrzehnte später, sind diese Mängel nicht mehr zu beheben.

Einige Teile der Programmiergemeinschaft möchten nicht, dass diese Löcher verstopft werden. Schauen Sie sich alle Flammenkriege an, die über Strings, Arrays, Zeiger, Garbage Collection ... beginnen.