第10章缓冲区溢出检测

课程目录第10章缓冲区溢出检测

缓冲区溢出检测：栈溢出、堆溢出、静态检测方法、字符串操作函数风险、使用安全函数

缓冲区溢出，这词儿听着就让人头疼。我做了十几年嵌入式开发，见过太多因为这个翻车的项目了。说白了，就是程序往一个固定大小的内存块里写了超出容量的数据，结果把隔壁邻居的数据给覆盖了。轻则程序崩溃，重则被黑客利用，植入恶意代码。

你想想看，嵌入式设备不像PC，出了bug还能重启。很多设备是7x24小时运行的，比如医疗仪器、工业控制器。一旦缓冲区溢出导致系统崩溃，后果不堪设想。我当年在做一个通信基站项目时，就因为一个字符串拷贝没控制长度，导致设备在雷雨天气频繁重启。排查了整整两周，最后发现就是一行代码的问题。

栈溢出与堆溢出

缓冲区溢出主要分两类：栈溢出和堆溢出。它们的发生场景和后果不太一样，咱们分开聊。

栈溢出

栈溢出发生在函数调用栈上。局部变量、函数参数、返回地址都存放在栈里。如果你往一个局部数组里写入了超出其大小的数据，就会覆盖栈上相邻的数据。

最危险的是覆盖返回地址。攻击者可以精心构造数据，让函数返回时跳转到恶意代码的入口。这就是经典的栈溢出攻击。

典型场景：局部数组 + 不安全的字符串拷贝

void vulnerable_func(const char *input) {
    char buffer[64];  // 栈上分配64字节
    strcpy(buffer, input);  // 危险！没有长度检查
    // 如果input长度超过63，就会发生栈溢出
}

我在项目中遇到过类似的情况。一个同事写的串口解析函数，用strcpy把接收到的数据拷贝到局部缓冲区。测试时一切正常，但到了现场，因为数据包长度比预期多了几个字节，直接导致系统跑飞。从那以后，我们团队就立了个规矩：所有字符串拷贝必须指定最大长度。

堆溢出

堆溢出发生在动态分配的内存区域。用malloc、calloc、realloc分配的内存都在堆上。堆溢出的后果同样严重，但表现形式更隐蔽。

堆溢出通常不会立即导致崩溃，而是慢慢破坏堆管理结构。你可能在程序运行几小时后才突然遇到段错误，排查起来非常困难。

void heap_overflow(const char *input) {
    char *buffer = (char*)malloc(64);
    if (buffer == NULL) return;
    strcpy(buffer, input);  // 同样危险！没有检查长度
    // 如果input长度超过63，堆溢出
    free(buffer);
}

注意：堆溢出比栈溢出更难调试。栈溢出通常立即崩溃，堆溢出可能延迟发作。我建议你在开发阶段就启用AddressSanitizer或Valgrind来检测堆问题。

静态检测方法

静态分析，说白了就是在不运行代码的情况下，通过扫描源码来发现潜在问题。这比等到运行时才发现bug要高效得多。

我个人习惯在代码提交前就跑一遍静态分析工具。常用的工具有：

PC-lint / FlexeLint：老牌工具，规则非常全面，但配置稍复杂
Coverity：商业工具，准确率很高，适合大型项目
Cppcheck：开源免费，轻量级，适合中小项目
Clang Static Analyzer：集成在Clang中，分析路径敏感问题很拿手
GCC -fanalyzer：GCC 10+ 内置的静态分析器，越来越成熟

静态分析能检测出哪些缓冲区溢出问题？我列个表给你看：

检测类型	典型问题	工具示例
数组越界	访问索引超出数组范围	Cppcheck, Coverity
字符串操作	strcpy/strcat/sprintf无长度限制	PC-lint, Clang Analyzer
格式化字符串	用户输入作为格式化参数	Coverity, GCC -Wformat
内存拷贝	memcpy/memmove大小参数错误	Clang Analyzer, Cppcheck
指针运算	指针偏移超出分配范围	Coverity, PC-lint

不过要提醒你，静态分析不是万能的。它会产生误报，也会漏报。我建议你把它作为第一道防线，而不是唯一防线。

字符串操作函数风险

C标准库里的字符串操作函数，很多都是"定时炸弹"。它们不检查目标缓冲区的大小，完全依赖程序员自己控制。但人总会犯错，对吧？

我列几个最危险的函数：

strcpy：不检查目标长度，源字符串多长就拷贝多长
strcat：不检查目标剩余空间，直接追加
sprintf：不检查输出缓冲区大小，格式化后的字符串可能超长
gets：从stdin读取一行，完全不限制长度（这个函数已经被C11标准废弃了）
scanf("%s")：读取字符串时不限制长度

我的建议：在代码审查时，看到这些函数就要亮红灯。除非你能100%确认输入长度受控，否则一律替换为安全版本。

使用安全函数

好消息是，C标准库提供了安全版本的替代函数。它们都要求显式指定缓冲区大小，从源头上杜绝溢出。

常用的安全函数有：

不安全函数	安全替代	说明
strcpy	strncpy / strlcpy	指定最大拷贝长度
strcat	strncat / strlcat	指定最大追加长度
sprintf	snprintf	指定输出缓冲区大小
vsprintf	vsnprintf	可变参数版本
gets	fgets	指定读取最大长度

来看几个正确使用的例子：

// 使用strncpy
char dest[64];
strncpy(dest, src, sizeof(dest) - 1);
dest[sizeof(dest) - 1] = '\0';  // 确保字符串终止

// 使用snprintf
char buffer[128];
snprintf(buffer, sizeof(buffer), "Value: %d, Name: %s", value, name);

// 使用fgets
char line[256];
if (fgets(line, sizeof(line), stdin) != NULL) {
    // 处理输入
}

注意：strncpy有个坑——如果源字符串长度大于等于目标缓冲区大小，它不会自动添加'\0'终止符。所以一定要手动设置最后一个字符为'\0'。我曾经就在这个细节上栽过跟头，排查了半天才发现是字符串没有正确终止。

知识体系图

下面这张图总结了缓冲区溢出检测的核心知识结构，你可以对照着梳理自己的知识体系：

嗯，这张图把咱们刚才讲的内容串起来了。从溢出类型到检测手段，再到最终的解决方案，是一条完整的学习路径。

最后再啰嗦一句：缓冲区溢出不是"会不会发生"的问题，而是"什么时候发生"的问题。与其等到出bug再排查，不如从一开始就养成使用安全函数的习惯。我团队里的新人，我都会让他们把strcpy和sprintf列入黑名单，看到就改。

好了，这一章的内容就到这儿。记住，写安全的代码，从控制缓冲区开始。

📚 课程目录

缓冲区溢出检测：栈溢出、堆溢出、静态检测方法、字符串操作函数风险、使用安全函数

栈溢出与堆溢出

栈溢出

堆溢出

静态检测方法

字符串操作函数风险

使用安全函数

知识体系图