C语言中奇技淫巧07-使用GCC栈保护选项检测程序栈溢出

-fstack-protector 是 GCC 和 Clang 编译器提供的一种栈保护（Stack Smashing Protection, SSP） 机制，用于检测和防御常见的缓冲区溢出攻击（特别是栈溢出）。它通过在函数的栈帧中插入特殊的"金丝雀值"（canary value）来实现保护。

这个机制的灵感来源于煤矿中的"金丝雀"------矿工会带一只金丝雀下井，如果矿井中有毒气，金丝雀会先死亡，从而警告矿工。

在栈保护中：

• "金丝雀"：是一个随机的、不可预测的数值。
• "毒气"：是恶意的缓冲区溢出攻击。
• "金丝雀死亡"：是金丝雀值被修改，表示栈已被破坏。

1. 保护机制的工作流程

当使用 -fstack-protector 编译时，编译器会在特定函数的栈帧中插入以下内容：

(1) 栈帧布局变化

在未启用保护时，一个典型的栈帧可能如下：

高地址
+------------------+
| 参数             |
+------------------+
| 返回地址         |  <-- 函数返回时跳转的目标
+------------------+
| 旧的栈帧指针     |
+------------------+
| 局部变量         |  <-- 缓冲区溢出可能从此处开始
+------------------+
低地址

启用 -fstack-protector 后，栈帧变为：

高地址
+------------------+
| 参数             |
+------------------+
| 返回地址         |  <-- 攻击者最想覆盖的目标
+------------------+
| 旧的栈帧指针     |
+------------------+
| **金丝雀值**     |  <-- 保护"返回地址"的哨兵
+------------------+
| 局部变量         |  <-- 缓冲区溢出从此处开始
+------------------+
低地址

关键变化：金丝雀值被放置在返回地址和局部变量（尤其是缓冲区）之间。

(2) 函数执行过程

1. 函数入口：

   • 编译器生成的代码会在函数开始时，从一个全局安全位置（如线程控制块）读取一个随机的金丝雀值。
   • 将这个值写入栈帧中的金丝雀槽。

2. 函数执行：

   • 程序正常运行。如果存在缓冲区溢出漏洞（如 strcpy 写入过长的字符串到局部数组），溢出的数据会先覆盖局部变量，然后覆盖金丝雀值，最后才可能覆盖返回地址。

3. 函数出口：

   • 在函数 return 之前，编译器插入的代码会重新读取栈中的金丝雀值。
   • 将其与原始的金丝雀值（通常存储在寄存器或安全位置）进行比较。
   • 如果相等：说明栈未被破坏，函数正常返回。
   • 如果不相等 ：说明金丝雀值被修改（即发生了栈溢出），程序会立即调用一个错误处理函数（如 __stack_chk_fail），通常会导致程序终止（abort），并可能输出错误信息（如 "stack smashing detected"）。

2. -fstack-protector 的不同级别

GCC/Clang 提供了多个级别的栈保护，严格程度递增：

选项	保护范围	说明
-fstack-protector	中等	仅保护包含长度大于 8 字节的字符数组 的函数，或使用了 alloca() 的函数。这是最常用的级别，平衡了安全性和性能开销。
-fstack-protector-strong	较强	保护范围更广，包括： • 包含任意大小的数组的函数 • 包含地址被取走的局部变量的函数 • 使用 alloca() 的函数 • 包含 printf 风格可变参数的函数 在现代编译器中推荐使用此选项。
-fstack-protector-all	最强	保护所有函数，无论其是否包含易受攻击的变量。性能开销最大，通常用于高安全要求的场景。
-fno-stack-protector	无	显式禁用栈保护（默认不启用，除非系统配置开启）。

3. 金丝雀值的来源与安全性

• 随机性 ：金丝雀值通常在程序启动时从系统的随机源（如 /dev/urandom）生成，并存储在每个线程的线程控制块（Thread Control Block, TCB）中。
• 不可预测性：由于金丝雀值是随机的且对攻击者不可见，攻击者无法轻易构造一个能同时覆盖金丝雀值并将其设置为原始值的 payload，从而绕过检测。
• 终止符 ：金丝雀值通常设计为包含字符串终止符 \0 和其他特殊字节，使其难以通过标准的字符串操作函数（如 strcpy）完整写入。

4. 局限性与绕过

尽管 -fstack-protector 非常有效，但它并非万能：

1. 不保护所有溢出：

   • 它主要保护返回地址不被覆盖。
   • 如果溢出只覆盖了其他局部变量（而未到达金丝雀），这种攻击可能不会被检测到（例如"变量篡改"攻击）。

2. 信息泄露前提下的绕过：

   • 如果攻击者能通过其他漏洞（如格式化字符串漏洞）泄露金丝雀值，那么他们就可以在溢出时将金丝雀值恢复，从而绕过保护。

3. 不防止堆溢出：

   • 该机制只保护栈，对堆（heap）上的缓冲区溢出无效。

4. 性能开销：

   • 每个受保护的函数都需要额外的内存（金丝雀槽）和运行时检查（读取、比较），会带来轻微的性能和内存开销。

5. 实际效果

当你在程序中触发一个栈溢出时，如果启用了栈保护，你通常会看到类似这样的错误信息：

*** stack smashing detected ***: <program_name> terminated
Aborted (core dumped)

这表明保护机制成功检测到了栈破坏并终止了程序，防止了更严重的后果（如代码执行）。

---

6. 总结

-fstack-protector 通过在栈帧中插入一个"金丝雀值"来保护关键数据（如返回地址）。它在函数入口放置金丝雀，在函数出口检查其完整性。如果金丝雀被修改，说明发生了栈溢出，程序会立即终止。这是一种简单、高效且广泛部署 的安全防御机制，能有效阻止大量基于栈溢出的攻击，是现代软件安全编译的基本配置 之一。推荐在编译时使用 -fstack-protector-strong 以获得更好的保护。