|
作者：IAR Systems 隨著(zhù)越來(lái)越多的嵌入式產(chǎn)品連接到外部網(wǎng)絡(luò )，嵌入式產(chǎn)品的信息安全性（Security）越來(lái)越多地被人們關(guān)注。其中既包括直接連接到外部網(wǎng)絡(luò )，比如通過(guò)Wi-Fi連接；也包括間接連接到外部網(wǎng)絡(luò )，比如汽車(chē)中的ECU通過(guò)CAN總線(xiàn)與T-box相連，而T-box通過(guò)移動(dòng)網(wǎng)絡(luò )可以連接到外部網(wǎng)絡(luò )。特別是對于一些高功能安全性（Safety）要求的產(chǎn)品，如工業(yè)，汽車(chē)，醫療產(chǎn)品等，信息安全成為了功能安全的前提（There Is No Safety Without Security）。 在C/C++中，堆棧緩存溢出（Stack Buffer Overflow）是一種常見(jiàn)的錯誤：當程序往堆棧緩存（Stack Buffer）寫(xiě)數據時(shí)，由于堆棧緩存通常采用固定長(cháng)度，如果需要寫(xiě)的數據長(cháng)度超過(guò)堆棧緩存的長(cháng)度時(shí)，就會(huì )造成堆棧緩存溢出。堆棧緩存溢出會(huì )覆蓋堆棧緩存臨近的堆棧數據，其中可能包含函數的返回地址，就會(huì )造成函數返回時(shí)異常。如果堆棧緩存溢出是攻擊者利用代碼的漏洞蓄意造成的，它就稱(chēng)為堆棧粉碎（Stack Smashing）。堆棧粉碎是常用的一種攻擊手段。 堆棧金絲雀（Stack Canaries）, 因其類(lèi)似于在煤礦中使用金絲雀來(lái)感測瓦斯等氣體而得名，它可以用于在函數返回之前檢測堆棧緩存溢出來(lái)實(shí)現堆棧保護(Stack Protection)，從而提高代碼的安全性。 相對于很多更加關(guān)注發(fā)揮器件性能的原廠(chǎng)開(kāi)發(fā)工具，一些在行業(yè)中被廣泛使用的商用開(kāi)發(fā)工具更加關(guān)注性能和安全性的平衡性和完整性。本文以過(guò)去數十年來(lái)在行業(yè)中被廣泛采用的商用工具鏈IAR Embedded Workbench為例，介紹如何在工具中實(shí)現堆棧保護，從而提高代碼的安全性。 堆棧粉碎 在C/C++中，堆棧（Stack）用于保存程序正常運行（比如函數調用或者中斷搶占）的臨時(shí)數據，可能包含如下數據： • 沒(méi)有存儲在寄存器中的函數參數和局部變量 • 沒(méi)有存儲在寄存器中的函數返回值和函數返回地址 • CPU和寄存器狀態(tài) 由于堆棧保存的是保證程序正常運行的臨時(shí)數據，堆棧緩存溢出會(huì )覆蓋堆棧緩存臨近的堆棧數據，這些數據可能包含函數的返回地址，如果發(fā)生時(shí)一般會(huì )造成程序運行異常。攻擊者經(jīng)常利用這一點(diǎn)來(lái)進(jìn)行堆棧粉碎攻擊。 下面通過(guò)一個(gè)簡(jiǎn)單的例子來(lái)說(shuō)明堆棧粉碎攻擊： void foo(char *bar) { char c[12]; strcpy(c, bar); // no bounds checking } foo()函數將函數參數輸入復制到本地堆棧變量c。如下圖B所示：當函數參數輸入小于12個(gè)字符時(shí)，foo()函數會(huì )正常工作。如下圖C所示：當函數參數輸入大于11個(gè)字符時(shí)，foo()函數會(huì )覆蓋本地堆棧的數據，將函數返回地址覆蓋為0x80C03508，當foo()函數返回時(shí)，會(huì )執行地址0x80C03508對應的代碼A，代碼A有可能包含攻擊者提供的shell代碼，從而使攻擊者獲得操作權限。 
A數據復制前
B "hello" 作為函數參數輸入
C "AAAAAAAAAAAAAAAAAAAA\x08\x35\xC0\x80"作為函數參數輸入 圖：堆棧粉碎示例 _ 堆棧保護 因其功能類(lèi)似于在煤礦中用來(lái)發(fā)現瓦斯的金絲雀而得名的堆棧金絲雀（Stack Canaries），可以用于在函數返回執行惡意代碼之前檢測堆棧緩存溢出。其檢測原理是：當調用函數時(shí)，將需要保存的臨時(shí)數據保存到堆棧，然后放置一個(gè)堆棧金絲雀,當函數返回時(shí)，檢查堆棧金絲雀的值是否發(fā)生改變；如果發(fā)生改變，說(shuō)明堆棧已被篡改，否則說(shuō)明堆棧沒(méi)有被篡改。 下面介紹如何在IAR Embedded Workbench這種廣受歡迎的商用工具鏈中實(shí)現堆棧保護，從而提高代碼的安全性： 在IAR Embedded Workbench中，會(huì )使用啟發(fā)模式（Heuristic）來(lái)決定函數是否需要堆棧保護: 如果函數局部變量包含數組類(lèi)型或者結構體成員包含數組類(lèi)型，或者局部變量的地址在該函數外被使用，該函數需要堆棧保護。 IAR Embedded Workbench安裝目錄下面\src\lib\runtime包含stack_protection.c，里面包含了__stack_chk_guard變量和__stack_chk_fail函數，可以作為模板使用：其中__stack_chk_guard變量就是堆棧金絲雀的值，在函數返回時(shí)，如果檢測到堆棧金絲雀的值被篡改，就會(huì )調用__stack_chk_fail函數。 1. 將IAR Embedded Workbench安裝目錄下面\src\lib\runtime文件夾的stack_protection.c拷貝并添加到工程。 2. 在IAR Embedded Workbench中啟用堆棧保護。
3. 在代碼中聲明堆棧保護相關(guān)的__stack_chk_guard變量和__stack_chk_fail函數。 extern uint32_t __stack_chk_guard; __interwork __nounwind __noreturn void __stack_chk_fail(void); 4. 編譯工程。編譯器會(huì )在需要堆棧保護的函數中添加如下操作：在函數入口處先入棧（Push），然后再額外保存堆棧金絲雀，具體的值用戶(hù)可以在stack_protection.c中更改__stack_chk_guard；在函數出口，會(huì )檢測堆棧金絲雀的值是否還是__stack_chk_guard，如果不是，說(shuō)明堆棧被篡改，會(huì )調用__stack_chk_fail函數。 調試 將斷點(diǎn)打到需要堆棧保護的函數反匯編（Disassembly）入口，暫停后發(fā)現編譯器在函數入口處入棧操作之后額外將堆棧金絲雀保存：
在函數出口處打斷點(diǎn)，然后運行程序，在函數返回時(shí)，會(huì )先檢測堆棧金絲雀的值是否還是__stack_chk_guard，如果不是，說(shuō)明堆棧被篡改，會(huì )調用__stack_chk_fail函數。
改變堆棧金絲雀的值使之與__stack_chk_guard不一致，然后運行程序，函數返回時(shí)將會(huì )調用__stack_chk_fail函數：
總結 本文主要介紹了堆棧粉碎攻擊如何利用堆棧緩存溢出來(lái)影響代碼的安全性。通過(guò)在IAR Embedded Workbench中實(shí)現堆棧保護可以檢測堆棧的完整性，從而提高代碼的安全性。 參考文獻： 1. https://en.wikipedia.org/wiki/Stack_buffer_overflow 2. https://cwe.mitre.org/data/definitions/121.html 3. https://en.wikipedia.org/wiki/Buffer_overflow_protection 4. https://www.iar.com/knowledge/le ... embedded-workbench/ 5. IAR C/C++ Development Guide （Stack protection） |
