指针与安全：缓冲区溢出攻击原理、栈溢出与指针、格式化字符串漏洞、安全编程规范

说实话，指针这东西，用好了是神器，用不好就是定时炸弹。我在嵌入式这行干了十几年，见过太多因为指针操作不当导致的线上事故。有些是程序崩溃，有些是数据错乱，最严重的——系统被攻破，数据泄露。

今天咱们就来聊聊指针安全这个话题。这不是什么高深的理论，而是每个C语言工程师都应该刻在骨子里的东西。

缓冲区溢出攻击原理

先说说缓冲区溢出。说白了，就是往一个固定大小的内存块里塞了太多数据，数据溢出来，把旁边的内容给覆盖了。

为什么会这样？因为C语言不检查数组边界。你写了个char buf[10]，然后strcpy(buf, "这是一段很长的字符串")，编译器不会拦你，运行时也不会报错。数据就这么静悄悄地写到了buf后面的内存里。

我遇到过最典型的一个案例：某嵌入式设备，运行了半年突然死机。查到最后，是一个字符串拷贝操作，源字符串长度在某些特殊工况下会超过目标缓冲区。平时没事，半年后刚好把某个关键变量的值给覆盖了。

// 一个典型的缓冲区溢出示例
#include <string.h>

void vulnerable_function(char *input) {
    char buffer[16];
    strcpy(buffer, input);  // 危险！没有长度检查
    // 如果input长度超过15，buffer后面的内存就会被覆盖
}

栈溢出与指针

栈溢出是缓冲区溢出中最常见的一种。函数的局部变量、返回地址都存放在栈上。你想想看，如果攻击者能控制栈上的数据，那就能控制程序的执行流程。

栈的结构是这样的：函数调用时，返回地址、参数、局部变量依次压栈。局部变量在栈顶，返回地址在栈底。如果局部变量溢出，数据是从低地址往高地址写的——刚好朝着返回地址的方向。

我记得有一次做安全审计，发现一个老同事写的代码：

void process_packet(char *packet_data, int len) {
    char local_buf[64];
    // 没有检查len是否超过64
    for (int i = 0; i < len; i++) {
        local_buf[i] = packet_data[i];
    }
    // 如果len > 64，返回地址就被覆盖了
}

这段代码看起来人畜无害，对吧？但攻击者只要构造一个超长的数据包，就能让程序跳转到任意地址执行。这就是经典的栈溢出攻击。

格式化字符串漏洞

这个漏洞我年轻时也踩过坑。格式化字符串漏洞，说白了就是printf、sprintf这类函数的格式化参数被攻击者控制了。

正常用法：printf("%s", str);
危险用法：printf(str);

如果str的内容是用户输入的，攻击者可以在里面塞%x、%n这些格式说明符。%x会从栈上读取数据并打印出来——这就泄露了内存内容。%n更狠，它会把已经输出的字节数写入一个地址——这就实现了任意内存写入。

我曾经在一个项目中看到这样的代码：

void log_message(char *user_input) {
    char log_buf[256];
    sprintf(log_buf, user_input);  // 危险！格式化字符串被用户控制
    // 攻击者可以传入 "%x%x%x%x" 来泄露栈数据
    // 或者传入 "%n" 来写入任意地址
}

安全编程规范：避免危险指针操作

说了这么多漏洞，咱们来聊聊怎么防。我总结了几条铁律，这些年一直遵守着：

1. 检查边界，不要相信输入

所有从外部来的数据，长度都要检查。用strncpy代替strcpy，用snprintf代替sprintf。

// 安全版本
void safe_function(char *input, size_t input_len) {
    char buffer[16];
    if (input_len >= sizeof(buffer)) {
        // 错误处理，不要继续
        return;
    }
    memcpy(buffer, input, input_len);
    buffer[input_len] = '\0';
}

2. 指针使用前必须判空

这个我强调过无数次。解引用空指针，程序直接崩溃。在嵌入式系统里，这可能导致整个系统重启。

if (ptr != NULL) {
    *ptr = value;
} else {
    // 错误处理
}

3. 不要返回局部变量的地址

局部变量在函数返回后就失效了。返回它的地址，得到的是一个悬空指针。

// 错误示例
int* bad_function() {
    int local = 42;
    return &local;  // 危险！函数返回后local就不存在了
}

// 正确做法：用静态变量或动态分配
int* good_function() {
    static int local = 42;
    return &local;
}

4. 释放后置空指针

free之后，指针仍然指向原来的地址。如果不置空，后续可能误用。

free(ptr);
ptr = NULL;  // 好习惯

5. 警惕指针运算越界

指针加减运算时，要确保结果仍在合法范围内。

int arr[10];
int *p = arr;
// 错误：p + 20 越界了
*(p + 20) = 100;  // 危险！

知识体系结构图

下面这张图梳理了本章的核心内容，方便你建立整体认知：

嗯，指针安全这块内容就讲到这里。说白了，安全编程不是什么高深的技术，而是一种习惯。每次写指针操作时，多问自己一句：这个指针会不会越界？会不会是空指针？释放后有没有置空？养成这个习惯，你的代码质量会上一个台阶。

---

公众号:蓝海资料掘金营，微信deep3321