内存安全：缓冲区溢出原理、栈保护技术（Canary）、ASLR与DEP
大家好，我是你们的老朋友。今天咱们聊点硬核的——内存安全。说白了，就是怎么让你的C程序不被别人“爆头”。
缓冲区溢出，这词儿听着就吓人。我刚开始写C那会儿，觉得内存嘛，不就是申请释放，有啥难的？直到有一次，我写了个网络服务，跑着跑着就崩了，还被人远程搞了。嗯，从那以后，我再也不敢小看这玩意儿了。
1. 缓冲区溢出：到底是怎么发生的？
先看个最简单的例子。你写了个函数，里面有个局部数组，比如 char buf[64]。然后你用 gets() 或者 strcpy() 往里塞数据。用户要是塞了128个字节，那多出来的64个字节就跑到栈上别的地方去了。
为什么会这样？因为栈是向下生长的，局部变量在栈顶。数组越界写，就会覆盖掉返回地址、栈帧指针，甚至函数指针。攻击者精心构造一下，就能让程序跳转到他的恶意代码上。
核心原理： 栈上局部变量与返回地址相邻。越界写入可以篡改返回地址，控制程序执行流。
我在项目中遇到过最典型的一个案例：一个嵌入式设备，用的老版本libc，sprintf 没做长度检查。攻击者通过一个HTTP请求的User-Agent字段，直接覆盖了返回地址，然后跳到了shellcode。那台设备就成了肉鸡。
2. 栈保护技术：Canary（金丝雀）
怎么防？最简单粗暴的方法——在栈上放个“哨兵”。
Canary，也叫栈保护。编译器在函数入口处，往栈上压入一个随机值（金丝雀值）。在函数返回前，检查这个值有没有被改过。如果变了，说明栈被破坏了，程序立即终止。
看代码：
// 开启 -fstack-protector 后，编译器自动插入
void vulnerable_func(char *input) {
char buf[64];
// 编译器在栈上插入 canary
strcpy(buf, input); // 如果溢出，会先覆盖 canary
// 函数返回前检查 canary
// 如果被篡改，调用 __stack_chk_fail
}我个人习惯，编译时一定加 -fstack-protector-strong。这个选项会保护所有包含局部数组的函数。GCC和Clang都支持。
避坑指南： 我曾经以为开了Canary就万事大吉。后来发现，如果攻击者能精确控制溢出字节，并且知道Canary的值（比如通过信息泄露漏洞），那Canary也能被绕过。所以，Canary不是银弹，它只是提高了攻击门槛。
3. ASLR：让地址“飘忽不定”
攻击者要利用缓冲区溢出，得知道目标地址在哪儿。比如栈地址、libc基址。ASLR（地址空间布局随机化）就是让这些地址每次加载都不一样。
你想想看，如果每次程序启动，栈的起始地址都随机变，攻击者写死的跳转地址就很难命中。
Linux下，ASLR由 /proc/sys/kernel/randomize_va_space 控制：
- 0：关闭ASLR
- 1：部分随机化（栈、mmap、共享库）
- 2：完全随机化（包括堆）
我建议生产环境一定要开到2。但要注意，ASLR对32位程序效果有限，因为地址空间小，随机化熵值低，暴力猜解有可能成功。64位下就好很多。
注意： ASLR不会影响代码段本身的地址（除非是PIE）。所以如果你编译时没开 -fpie -pie，那程序自身的代码段地址是固定的，攻击者仍然可以跳转到固定地址的gadget。
4. DEP/NX：让栈不可执行
缓冲区溢出的最终目的，往往是执行shellcode。如果栈根本不能执行代码呢？
DEP（数据执行保护），也叫NX（No-Execute）位。CPU硬件层面标记内存页是否可执行。栈、堆、数据段默认标记为不可执行。攻击者就算把shellcode写进去了，一执行就触发段错误。
看个对比：
| 特性 | 无DEP | 有DEP |
|---|---|---|
| 栈可执行 | 是 | 否 |
| 堆可执行 | 是 | 否 |
| 攻击方式 | 直接跳转shellcode | 需要ROP绕过 |
在Linux下，编译时加 -z noexecstack 就能让栈不可执行。默认情况下，现代编译器都会开启。
组合拳： 最安全的配置是 Canary + ASLR + DEP + PIE。四者配合，能挡住绝大多数缓冲区溢出攻击。
5. 知识体系总览
下面这张图，是我自己总结的缓冲区溢出防御体系。你可以看到，攻击者从“输入数据”到“控制程序”，中间要过好几道关卡。
6. 实战中的组合策略
光知道原理不够，得会用。我一般这样配置编译选项：
gcc -fstack-protector-strong -z noexecstack -pie -fPIE -o program program.c然后检查系统ASLR是否开启：
cat /proc/sys/kernel/randomize_va_space
# 输出应为 2如果输出是0或1，赶紧改：
echo 2 > /proc/sys/kernel/randomize_va_space个人经验： 我曾经在一个嵌入式Linux项目上，发现ASLR默认是关闭的（因为内核配置没开）。结果产品在公网跑了三天就被入侵了。从那以后，我每次做项目都会检查这三项：Canary、ASLR、DEP。缺一不可。
7. 绕不过的坎：ROP
有了DEP，攻击者不能直接执行shellcode了。但他们发明了ROP（Return-Oriented Programming）。说白了，就是利用程序已有的代码片段（gadget），拼凑出恶意逻辑。每个gadget以ret结尾，攻击者通过控制栈上的返回地址链，让程序依次执行这些gadget。
ASLR能增加ROP的难度，因为gadget地址也随机化了。但如果攻击者能泄露一个地址，就能推算出整个libc的基址，然后构造ROP链。
所以，防御是层层递进的。没有绝对的安全，只有不断加高的门槛。
重要提醒： 不要以为开了所有保护就高枕无忧。逻辑漏洞、信息泄露、堆溢出等依然可能被利用。安全是一个持续对抗的过程。
好了，今天的内容就到这里。记住：写C代码时，时刻问自己——这个输入可信吗？这个数组会越界吗？这个指针能乱飞吗？养成习惯，比任何技术都管用。