gcc CFI控制流完整性保护

一、CFI简介

GCC的CFI（Control Flow Integrity，控制流完整性）机制是一种用于防止针对函数指针和虚函数表的攻击的保护机制。它通过在编译时对程序进行加固，限制了程序中可能的跳转目标，以提高程序运行时的安全性。下面将全面深入介绍GCC CFI机制的工作原理和实现方式：

插入检查：GCC CFI机制通过在源代码的函数调用和间接跳转处插入检查来实现控制流完整性。这些检查用于验证函数指针和虚函数表的正确性，确保它们只会指向预期的目标函数。
检查目标函数：GCC CFI对所有间接函数调用进行检查，以确保调用的目标函数是有效的。这意味着每次进行间接函数调用时，都会执行一些额外的代码来验证目标函数的有效性。
限制跳转目标：GCC CFI限制了函数指针和虚函数表可以跳转的目标范围。每个函数指针和虚函数表都会被分配一个唯一的ID，跳转目标只能是具有相应ID的函数。

基于Type Metadata：GCC CFI利用类型元数据来实现控制流完整性。在编译过程中，它会生成类型元数据并将其嵌入到生成的可执行文件中。类型元数据包含函数指针和虚函数表的类型信息，包括函数签名和返回类型等。在运行时，通过对比函数指针和虚函数表中的类型元数据，可以验证它们指向的目标是否是正确的。
插入检查：GCC CFI插入了一些额外的代码来进行控制流完整性的检查。在函数调用和间接跳转的代码中，会插入检查代码，用于验证目标函数的有效性。如果目标函数无效，将触发一个安全异常并采取相应的防护措施。
在链接时优化（Link-Time Optimization，LTO）下使用：GCC CFI需要在链接时优化（LTO）模式下使用，以便在整个程序的编译过程中进行全局优化和分析。在这种模式下，所有的源代码文件将被链接在一起，从而可以进行全局的控制流完整性检查和加固。
引入安全指示符（Safe Indirections）：GCC CFI引入了安全指示符来标记受到控制流完整性保护的指针。这些指针通过安全指示符与函数类型元数据进行关联，并使用指针警戒（Pointer Guards）来防止指针被篡改。

优点：GCC CFI提供了一种有效的方式来保护程序中的函数指针和虚函数表免受恶意攻击。它可以防止对程序的控制流进行篡改，从而提高程序的安全性。由于在编译时进行加固，它不依赖于运行时的额外开销，并且可应用于现有的软件代码。
局限性：GCC CFI虽然提供了一些保护措施，但仍然无法解决所有的攻击场景。某些高级攻击技术，如ROP（Return-Oriented Programming）和JOP（Jump-Oriented Programming）可能会绕过控制流完整性保护。另外，GCC CFI可能会带来一定的性能开销，特别是在具有大量间接函数调用的程序中。

总的来说，GCC的CFI机制是一种很有潜力的控制流完整性保护机制，可以提高程序的抗攻击能力。然而，它仍然需要结合其他安全措施来全面提高系统的防护能力。

二、开启方式

要开启GCC的CFI（Control Flow Integrity）机制，需要使用特定的编译选项来确保在编译过程中应用CFI保护。下面是一些启用GCC CFI机制的步骤：

对于单个源文件：可以使用以下选项启用CFI机制：`-flto -fvisibility=hidden -fsanitize=cfi`
对于使用了动态链接库（DLL）或共享对象（SO）的程序：需要在链接时进行CFI检查。可以使用以下选项：`-flto -fvisibility=hidden -fsanitize=cfi -fvisibility-inlines-hidden`

进行链接时优化（Link-Time Optimization）：为了使CFI特性全部生效，建议使用链接时优化（LTO）。可以在编译选项中添加`-flto`选项来启用链接时优化。
编译和链接其他源文件和库：如果您的程序涉及多个源文件或使用了外部库，需要确保所有的代码都启用了CFI机制，并且通过`-flto`选项进行链接时优化。
编译并运行程序：使用上述选项重新编译和链接程序，并运行生成的可执行文件。在程序执行过程中，CFI机制将对函数指针和虚函数表进行检查，以保护程序免受针对这些目标的恶意攻击。

请注意，启用CFI机制可能会对程序的性能产生一定影响，因为额外的检查代码会引入一些运行时开销。因此，在进行性能敏感的应用程序时，需要对安全性和性能做出权衡。

三、支持版本

GCC的控制流完整性保护功能在不同版本中有所差异。下面是一些主要版本中的控制流完整性保护支持情况：

GCC 4.9版本及以后：GCC 4.9引入了控制流完整性保护功能。该版本中引入了选项`-fcf-protection`，用于开启控制流完整性保护。默认情况下，该选项为`none`，需要手动设置为`branch`或`full`来启用相应级别的控制流完整性保护。`branch`级别提供轻量级的保护，`full`级别提供更强的保护，但可能会导致应用程序的性能下降。
GCC 8版本及以后：GCC 8版本引入了CFI（Control Flow Integrity）特性，该特性为程序提供了更强大的控制流完整性保护。CFI可以检测和拦截针对函数指针和虚函数表的恶意攻击。使用选项`-flto`（链接时优化）和`-fvisibility=hidden`（隐藏符号）来启用CFI。此外，还可以使用选项`-fsanitize=cfi`来开启CFI的运行时检查。

请注意，控制流完整性保护的功能支持取决于具体版本的GCC和编译器的配置选项。建议使用最新版本的GCC，并仔细查阅相关文档以了解具体版本的支持情况和使用方法。

四、潜在风险

开启GCC的CFI（Control Flow Integrity）机制可以提高程序的安全性，但也存在一些潜在的风险需要注意。以下是一些可能的风险和注意事项：

兼容性问题：某些代码可能与CFI机制不兼容，可能导致编译错误或运行时异常。这些问题可能需要进行代码修改或调整编译选项来解决。
性能开销：CFI机制可能会引入一定的性能开销，尤其是在对函数调用进行完整性检查的情况下。这可能导致程序运行速度略有下降。因此，在性能敏感的应用程序中需要在安全性和性能之间权衡。
外部库和函数的依赖：CFI机制可能无法保护通过外部库或函数调用的代码。如果这些库或函数存在漏洞或被攻击，可能会绕过CFI机制，从而对整个系统的安全性构成威胁。因此，除了开启CFI机制外，还需要综合考虑整个系统的安全性措施。
增加开发和调试复杂性：CFI机制的引入可能增加了代码的复杂性，包括类型和跳转目标的限制。这可能增加了开发和调试的难度，并对相关的工具和流程造成影响。
误报和漏报：虽然CFI机制可以提供较高的控制流完整性保护，但仍可能存在一些误报和漏报的情况。误报是指合法的控制流被错误地拦截，而漏报是指恶意控制流没有被检测到。这些情况需要综合考虑并进行调查和解决。

综上所述，开启GCC的CFI机制可以提高程序的安全性，但开发者需要仔细权衡使用CFI的风险和利益，并确保进行适当的测试和验证，以确保应用程序的稳定性和安全性。