Warum ist dieser code anfällig für buffer-overflow-Angriffe?

Das problem ist hier:

strncpy(buffer,str,strlen(str));
                   ^^^^^^^^^^^

Wenn die Zeichenfolge größer als die Länge der Ziel-Puffer strncpy wird, kopieren Sie über. Sie sind auf Basis der Anzahl der Zeichen der Zeichenkette als Zahl zu kopieren, anstatt die Größe des Puffers. Der richtige Weg, dies zu tun ist wie folgt:

strncpy(buffer,str, sizeof(buff) - 1);
buffer[sizeof(buff) - 1] = '\0';

Was dieser tut, ist die Menge der kopierten Daten, um die tatsächliche Größe des Puffers minus eins für das null-Endzeichen. Dann setzen wir das Letzte byte im Puffer, um das null-Zeichen als zusätzlicher Schutz. Der Grund für dieses ist, weil strncpy kopiert bis zu n bytes, einschließlich des abschließenden null, wenn strlen(str) < len - 1. Wenn nicht, dann ist die null wird nicht kopiert, und Sie haben ein crash-Szenario, denn jetzt ist Ihr Puffer hat eine nicht beendete Zeichenkette.

Hoffe, das hilft.

EDIT: Nach weiterer Prüfung und input von anderen, eine mögliche Codierung für die Funktion folgt:

int func (char *str)
  {
    char buffer[100];
    unsigned short size = sizeof(buffer);
    unsigned short len = strlen(str);

    if (len > size - 1) return(-1);
    memcpy(buffer, str, len + 1);
    buffer[size - 1] = '\0';
    return(0);
  }

Da wir bereits wissen, die Länge der Zeichenfolge ist, können wir mit memcpy kopieren Sie die Zeichenfolge aus dem Ort, auf den verwiesen wird, die von str in den Puffer. Beachten Sie, dass der pro-das Handbuch Seite für strlen(3) (auf einem FreeBSD 9.3-system), das folgende angegeben:

 The strlen() function returns the number of characters that precede the
 terminating NUL character.  The strnlen() function returns either the
 same result as strlen() or maxlen, whichever is smaller.

Welche ich zu interpretieren sein, dass die Länge des string enthält nicht die null. Das ist der Grund, warum ich kopiere len + 1 bytes enthalten den Wert null, und der test überprüft, um sicherzustellen, dass die Länge < Größe des Puffer - 2. Minus eins, da der Puffer beginnt bei der position 0 und minus andere zu stellen Sie sicher, es gibt Raum für die null.

EDIT: Stellt sich heraus, die Größe von etwas, das beginnt mit 1, während der Zugriff beginnt mit 0, so ist der -2 war vorher falsch, da würde es wieder ein Fehler für alles > 98 bytes sein, aber es sollte > 99 bytes.

EDIT: Obwohl, die Antwort über ein unsigned short ist in der Regel richtig als die maximale Länge, die dargestellt werden können, 65.535 Zeichen, ist es eigentlich egal, weil wenn der string länger ist als der Wert umwickeln. Es ist wie mit 75,231 (das ist 0x000125DF) und abkleben der oberen 16 bits geben Sie 9695 (0x000025DF). Das einzige problem, das ich sehe, ist, dass die ersten 100 chars Vergangenheit 65.535 ein, als die Länge überprüfen Sie erlauben das kopieren, sondern es wird lediglich eine Kopie der ersten 100 Zeichen der Zeichenfolge in allen Fällen und null die Zeichenkette beenden. So auch mit dem rundum-Ausgabe, der Puffer noch nicht übergelaufen.

Dies kann oder kann nicht in sich selbst ein Sicherheitsrisiko darstellen, je nach Inhalt des Strings und was Sie verwenden es für. Wenn es nur straight text ist lesbarer, dann gibt es in der Regel kein problem. Sie bekommen einfach einen abgeschnittenen string. Allerdings, wenn es so etwas wie eine URL oder auch ein SQL-Befehl-Sequenz, könnten Sie ein problem haben.

InformationsquelleAutor der Antwort Daniel Rudy

Die Antwort mit die Verpackung ist Recht. Aber es ist ein problem glaube ich noch nicht genannt wurde
if(len >= 100)

Gut, wenn Len wäre 100 würden wir kopieren 100 Elemente ein, wir würden keinen nachgestellten \0. Dass klar würde bedeuten, jede andere Funktion, abhängig von der richtigen endete string würde, gehen weit über das ursprüngliche array.

Den string problematisch aus C ist IMHO nicht lösbar. Sie würden immer besser, haben einige Grenzen, bevor der Anruf, aber auch das wird nicht helfen. Es gibt kein bounds checking und damit buffer overflows immer kann und leider auch passiert....

InformationsquelleAutor der Antwort Friedrich