20、内存安全：缓冲区溢出、堆溢出、栈溢出防护

内存安全这个话题，说实话，是C语言里最让人头疼的。我见过太多项目，功能跑得好好的，突然就崩了。查来查去，最后发现是内存越界了。嗯，今天我们就来聊聊这三种最常见的溢出问题，以及怎么防住它们。

什么是缓冲区溢出？

说白了，就是往一个固定大小的内存块里塞了太多数据。数据装不下了，就溢出来，把旁边的内存给污染了。我刚开始写C的时候，觉得这没什么大不了的。直到有一次，一个客户现场的系统每隔三天就重启一次，查了两个月才发现是缓冲区溢出导致的。

栈溢出

栈溢出，我习惯叫它“递归杀手”。你想想看，每次函数调用都会在栈上分配空间。如果递归太深，或者局部变量太大，栈空间就不够用了。

// 一个典型的栈溢出例子
void dangerous_recursion(int depth) {
    char buffer[1024];  // 每次递归都分配1KB
    printf("Depth: %d\n", depth);
    dangerous_recursion(depth + 1);  // 无限递归下去
}

int main() {
    dangerous_recursion(0);
    return 0;
}

这段代码跑起来，用不了多久就会崩。为什么？因为每次递归都在栈上分配1KB，栈空间是有限的（通常是1MB到8MB）。递归到1000次左右，栈就满了。

堆溢出

堆溢出比栈溢出更隐蔽。堆是动态分配的，你malloc多少就用多少。但问题是，你可能会写超出分配的范围。

// 堆溢出示例
char *p = (char*)malloc(10);  // 只分配了10个字节
if (p != NULL) {
    for (int i = 0; i < 20; i++) {
        p[i] = 'A';  // 写越界了！只分配了10个字节
    }
    free(p);
}

这段代码看起来没什么问题，编译也不会报错。但运行时，它会把堆管理器的元数据给覆盖掉。后果是什么？轻则free的时候崩溃，重则被黑客利用执行恶意代码。

缓冲区溢出的防护策略

防护策略有很多，我挑几个最实用的来说。

1. 边界检查

这是最基础，也是最有效的办法。每次读写数组或缓冲区前，先检查索引是否越界。

// 安全的数组访问
#define ARRAY_SIZE 100
int safe_array[ARRAY_SIZE];

void safe_access(int index, int value) {
    if (index < 0 || index >= ARRAY_SIZE) {
        fprintf(stderr, "Error: Index %d out of bounds\n", index);
        return;  // 或者exit(1)
    }
    safe_array[index] = value;
}

2. 使用安全函数

C标准库里的strcpy、sprintf这些函数，都不做边界检查。我建议用它们的“安全版本”。

不安全函数	安全替代	说明
strcpy	strncpy	指定最大复制长度
sprintf	snprintf	指定输出缓冲区大小
gets	fgets	指定最大读取长度
scanf	fscanf + 宽度限制	如%19s限制输入长度

3. 栈保护技术

现代编译器都支持栈保护。GCC的-fstack-protector选项会在栈上插入一个“金丝雀值”。如果函数返回时这个值被修改了，说明发生了栈溢出。

// 编译时启用栈保护
// gcc -fstack-protector -o program program.c

void vulnerable_function() {
    char buffer[10];
    // 如果这里发生溢出，金丝雀值会被破坏
    // 程序会在返回前检测到并终止
}

4. 地址空间布局随机化（ASLR）

这个技术我特别喜欢。它让每次程序运行时，堆、栈、共享库的地址都随机化。就算黑客知道了漏洞，也很难预测目标地址。

实际项目中的避坑指南

我曾经在一个网络服务器项目里，遇到过一个特别隐蔽的堆溢出。代码是这样的：

// 有问题的代码
char *parse_request(char *data, int len) {
    char *result = (char*)malloc(len);
    // 处理数据...
    result[len] = '\0';  // 这里越界了！索引从0开始，最大是len-1
    return result;
}

看出来了吗？分配了len个字节，但访问了第len个位置。正确的做法是分配len+1个字节，或者把索引改成len-1。

知识体系总览

下面这张图，是我总结的内存安全防护体系。你可以把它当作一个检查清单。

总结

内存安全不是靠一个技巧就能搞定的。它需要你在写每一行代码时都保持警惕。我个人习惯是：

• 每次malloc后，立刻检查返回值
• 每次数组访问前，先检查索引范围
• 每次字符串操作，都用安全版本函数
• 每次递归，都设置最大深度限制

做到这四点，90%的内存安全问题都能避免。剩下的10%，就靠调试工具和代码审查来补了。