Day 8：缓冲区溢出（Buffer Overflow）

原创于 2025-06-25 10:08:17 发布 · 379 阅读

CC 4.0 BY-SA版权

文章标签：

1. 原理与细节逐步讲解

缓冲区溢出是指程序向缓冲区写入数据时，超出了该缓冲区所分配的空间，导致覆盖后续内存内容。C语言数组没有边界检查，字符串操作函数（如gets, strcpy, sprintf等）没有自动校验目标缓冲区长度，很容易发生溢出。

缓冲区溢出的本质：

写入过多数据到内存块，破坏相邻内存，可能覆盖局部变量、函数返回地址、堆结构等关键数据结构。
常见于栈（stack buffer overflow）、堆（heap buffer overflow）。

2. 典型陷阱/缺陷说明及成因剖析

常见成因：

数组/缓冲区分配空间不足。
不安全字符串函数不校验目标空间大小。
循环拷贝、写入时未判断索引/长度。

典型陷阱示例：

char buf[8];
strcpy(buf, "123456789"); // 目标只有8字节，实际写入10字节（含\0）

危险函数列举：

gets（已弃用）、strcpy、strcat、sprintf、scanf("%s", ...)等。
动态分配空间不足，如malloc(8)后写入超过8字节数据。

3. 规避方法与最佳设计实践

优先使用安全函数：如fgets、strncpy、snprintf，始终指定最大长度。
所有内存操作严格校验边界。
动态分配时，长度计算要包含结尾符等额外空间。
使用静态分析工具检测溢出风险。
现代编译器和操作系统支持栈保护（Stack Protector）、ASLR等防御机制，但不能完全依赖。

4. 典型错误代码与优化后代码对比

错误代码示例：

char buf[8];
gets(buf); // 用户输入超长可溢出

优化后安全代码：

char buf[8];
fgets(buf, sizeof(buf), stdin); // 限定最多读入7字节+\0

机制差异：

gets没有长度限制，任意长度输入都会溢出。
fgets只会读取指定长度，自动避免超界写入。

5. 底层原理补充

栈溢出：覆盖局部变量、返回地址、函数帧指针，容易被利用进行代码劫持（如ROP/JOP、shellcode注入）。
堆溢出：破坏堆管理元数据，可能导致任意读写或执行。
现代防护：如canary值、地址空间随机化（ASLR）、不可执行栈（NX Bit），但并非万无一失，仍需代码层面预防。

6. 图示

<svg width="400" height="90">
  <rect x="20" y="40" width="80" height="30" fill="#bdf" stroke="#000"/>
  <rect x="100" y="40" width="80" height="30" fill="#fdc" stroke="#000"/>
  <rect x="180" y="40" width="80" height="30" fill="#ffc" stroke="#000"/>
  <text x="35" y="60" font-size="13">buf[8]</text>
  <text x="115" y="60" font-size="13">局部变量</text>
  <text x="195" y="60" font-size="13">返回地址</text>
  <line x1="60" y1="35" x2="60" y2="20" stroke="#c00" stroke-width="2" marker-end="url(#arrow)"/>
  <text x="5" y="15" font-size="12" fill="#c00">长输入覆盖</text>
  <defs>
    <marker id="arrow" markerWidth="8" markerHeight="8" refX="4" refY="4"
            orient="auto" markerUnits="strokeWidth">
      <path d="M0,0 L8,4 L0,8 L2,4 L0,0" fill="#c00"/>
    </marker>
  </defs>
</svg>