为什么90%的嵌入式系统漏洞源于strcpy？strncpy真能救你？

原创 于 2025-10-29 15:45:53 发布 · 827 阅读 · 20 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

第一章：为什么90%的嵌入式系统漏洞源于strcpy？

在嵌入式系统开发中，C语言因其高效性和底层控制能力被广泛使用。然而，正是这种对内存的直接操作，带来了严重的安全隐患。其中，strcpy() 函数成为绝大多数缓冲区溢出漏洞的根源。

strcpy 的设计缺陷

strcpy() 函数不检查目标缓冲区的大小，仅按源字符串长度进行复制，极易导致缓冲区溢出。攻击者可利用此漏洞覆盖返回地址或关键数据，执行任意代码。 

#include <string.h>

void copy_data(char *input) {
    char buffer[64];
    strcpy(buffer, input);  // 危险！无长度检查
}
上述代码中，若 input 长度超过64字节，将导致栈溢出。此类问题在资源受限的嵌入式设备中尤为常见，且难以通过动态防护机制拦截。

常见漏洞场景

  • 网络协议解析时未验证输入长度
  • 配置文件加载过程中使用 strcpy 处理用户输入
  • 命令行接口（CLI）参数处理缺乏边界检查

安全替代方案对比

函数安全性说明
strcpy低无长度限制，易溢出
strncpy中可指定长度，但需手动补 '\0'
strlcpy高BSD系统提供，保证终止符
memcpy_s高C11 Annex K，带运行时检查

graph TD
    A[用户输入] --> B{输入长度 > 缓冲区?}
    B -->|是| C[缓冲区溢出]
    B -->|否| D[安全复制]
    C --> E[程序崩溃或代码执行]
为提升系统安全性，开发者应禁用 strcpy，改用带边界检查的函数，并在编译时启用 -fstack-protector 等保护机制。

第二章：strcpy的安全隐患深度剖析

2.1 strcpy函数的工作机制与内存模型

strcpy函数是C标准库中用于字符串复制的核心函数，其原型为 char *strcpy(char *dest, const char *src)。该函数从源字符串src的首地址开始，逐字节复制数据至目标缓冲区dest，直至遇到空终止符'\0'为止。
内存操作模型
该函数不检查目标缓冲区大小，存在严重溢出风险。复制过程依赖指针递增，直到检测到'\0'。源与目标内存区域不可重叠，否则行为未定义。 

char *strcpy(char *dest, const char *src) {
    char *ret = dest;
    while ((*dest++ = *src++) != '\0')
        ; // 复制每个字符直至结束
    return ret;
}
上述实现中，赋值与指针递增在循环条件中完成。返回原始dest指针便于链式调用。参数src声明为const确保源字符串不被修改。
典型风险场景
  • 目标缓冲区过小导致栈溢出
  • 源字符串未正确终止引发越界读取
  • 内存重叠造成数据损坏

2.2 缓冲区溢出原理及典型攻击场景

缓冲区溢出是指程序向固定大小的缓冲区写入超出其容量的数据，导致覆盖相邻内存区域的内容。这种漏洞常见于使用C/C++等低级语言编写的程序，因缺乏自动边界检查而容易被利用。
溢出基本原理
当函数调用时，局部变量存储在栈中，若输入数据未加验证，过量数据会覆盖返回地址，使程序跳转至攻击者指定的恶意代码位置。 

void vulnerable_function(char *input) {
    char buffer[64];
    strcpy(buffer, input); // 无边界检查，存在溢出风险
}
上述代码中，strcpy未限制拷贝长度，攻击者可构造超过64字节的输入，覆盖栈帧中的返回地址。
典型攻击场景
  • 栈溢出攻击：通过覆盖函数返回地址执行shellcode
  • 堆溢出攻击：操纵动态内存分配区破坏程序结构
  • 格式化字符串攻击：利用printf族函数漏洞读取或写入内存

2.3 嵌入式环境中strcpy滥用的真实案例分析

在某工业控制器固件中，开发者使用`strcpy`进行设备标识符复制，未校验源字符串长度，导致栈溢出漏洞。攻击者可通过伪造长设备名触发缓冲区溢出，劫持控制流。
漏洞代码片段

void set_device_id(char *input) {
    char buf[16];
    strcpy(buf, input);  // 危险！无长度检查
    save_id(buf);
}
该函数接收外部输入`input`，直接复制到仅16字节的栈缓冲区`buf`。当输入超过15字符（含终止符）时，将覆盖返回地址。
典型攻击场景
  • 攻击者发送32字节的设备名，包含shellcode与跳转地址
  • CPU执行返回指令时跳转至恶意代码
  • 获得设备底层操作权限
此案例凸显在资源受限环境中更需优先选用`strncpy`或`snprintf`等安全替代方案。

2.4 静态分析工具如何检测strcpy风险

静态分析工具通过词法扫描和语义分析识别潜在的不安全函数调用。当工具解析源码时，会匹配敏感函数名如 strcpy，并检查其上下文使用模式。
常见检测机制
  • 函数调用识别：标记所有 strcpy 调用点
  • 缓冲区边界分析：追踪目标缓冲区的声明大小
  • 源长度推断：分析源字符串是否可能超出目标容量
示例代码与警告触发

#include <string.h>
void unsafe_copy(char *input) {
    char buf[64];
    strcpy(buf, input); // 工具将在此行发出警告
}
上述代码中，strcpy 的第二个参数 input 长度未知，静态分析器会判定存在缓冲区溢出风险，并标记为高危调用。工具通过符号执行或数据流分析，确认输入未经过长度校验，从而触发安全告警。

2.5 实验：构造一个基于strcpy的栈溢出漏洞

漏洞原理分析
栈溢出发生在程序向局部数组变量写入超出其分配空间的数据时。`strcpy` 函数因不检查目标缓冲区长度，成为常见溢出源头。
实验代码实现

#include <stdio.h>
#include <string.h>

void vulnerable() {
    char buffer[64];
    strcpy(buffer, getenv("PAYLOAD")); // 无边界检查
}

int main() {
    vulnerable();
    return 0;
}
上述代码中，`buffer` 大小为64字节，但 `strcpy` 未限制输入长度，攻击者可通过设置环境变量 `PAYLOAD` 超过64字节来覆盖返回地址。
利用条件与防护建议
  • 编译时关闭栈保护：使用 -fno-stack-protector
  • 开启ASLR会增加利用难度
  • 推荐使用 strncpy 替代 strcpy

第三章：strncpy的设计初衷与现实缺陷

3.1 strncpy接口规范与安全假设

接口定义与基本行为
strncpy 是 C 标准库中用于字符串复制的函数，声明如下： 

char *strncpy(char *dest, const char *src, size_t n);
该函数将最多 n 个字符从源字符串 src 复制到目标缓冲区 dest。若 src 长度小于 n，则用空字符填充至长度 n；否则不自动补 \0。
安全假设与常见陷阱
  • 目标缓冲区必须足够大以容纳 n 字节
  • 复制后不保证目标字符串以 \0 结尾
  • 过度依赖填充可能导致性能浪费
正确使用模式
为确保安全性，应显式终止字符串： 

strncpy(dest, src, sizeof(dest) - 1);
dest[sizeof(dest) - 1] = '\0';
此模式防止溢出并保证字符串完整性，是防御性编程的关键实践。

3.2 截断不补'\0'带来的安全隐患

在C语言中，字符串以空字符 '\0' 作为终止标志。当使用如 strncpy 等函数进行字符串复制时，若源字符串长度超过目标缓冲区大小，函数会截断内容但**不会自动添加 '\0'**，导致结果不是合法的C字符串。
潜在风险示例

char dest[10];
strncpy(dest, "HelloWorld", 10); // 复制10个字符，无'\0'
printf("%s\n", dest); // 行为未定义：可能输出垃圾数据
上述代码中，dest 缓冲区被完全填满，缺少终止符，调用 printf 时将越界读取内存，可能导致信息泄露或程序崩溃。
安全编码建议
  • 手动确保目标字符串以 '\0' 结尾
  • 优先使用更安全的替代函数，如 strlcpy（若可用）
  • 始终验证字符串完整性，尤其是在用于网络传输或系统调用前

3.3 实践：strncpy在固件开发中的误用示例

在嵌入式固件开发中，strncpy常被误用于字符串复制，忽视其不保证目标字符串以'\0'结尾的特性，导致潜在的安全隐患。
常见误用场景
  • 未显式补全终止符，造成后续字符串处理越界
  • 源字符串长度等于缓冲区大小时，目标串无结束符

char dest[16];
strncpy(dest, source, sizeof(dest)); // 若source为16字符，dest将无'\0'
上述代码中，若source恰好16字节，dest不会自动添加'\0'，调用strlen(dest)或printf可能引发内存访问异常。
安全替代方案
推荐使用strlcpy或手动补null： 

dest[sizeof(dest) - 1] = '\0'; // 确保终止

第四章：更安全的字符串处理替代方案

4.1 使用strlcpy实现边界安全复制

在C语言中进行字符串复制时，传统的strcpy函数因缺乏边界检查而极易引发缓冲区溢出。为提升安全性，strlcpy被广泛采用，它确保目标缓冲区不会越界。
函数原型与参数说明
size_t strlcpy(char *dest, const char *src, size_t size);
该函数将最多size - 1个字符从src复制到dest，并自动添加终止符\0。返回值为src的总长度，可用于判断是否截断。
使用优势与注意事项
  • 始终保证目标字符串以\0结尾
  • 避免内存越界，增强程序稳定性
  • 需确保size参数为dest缓冲区的完整大小
正确使用strlcpy可显著降低安全风险，是现代C编程中推荐的字符串复制方式。

4.2 C11 Annex K中的strcpy_s及其兼容性问题

安全字符串函数的引入
C11标准通过Annex K引入了strcpy_s，旨在替代不安全的strcpy。该函数在拷贝时要求指定目标缓冲区大小，防止缓冲区溢出。 
errno_t strcpy_s(char *dest, rsize_t destsz, const char *src);
参数说明： - dest：目标缓冲区指针； - destsz：目标缓冲区大小（字节）； - src：源字符串指针； - 返回值为errno_t类型，成功返回0，失败返回错误码。
兼容性争议
尽管设计初衷良好，但strcpy_s并未被广泛采纳。主要问题包括：
  • 仅部分编译器（如MSVC）支持Annex K；
  • GNU/Linux环境普遍不支持，glibc明确拒绝实现；
  • 接口与POSIX标准冲突，影响跨平台移植。
因此，在跨平台项目中推荐使用strncpy或snprintf等可移植方案。

4.3 利用静态数组检查和编译时断言防御溢出

在系统编程中，缓冲区溢出是常见的安全漏洞来源。通过使用静态数组结合编译时断言，可在编译阶段捕获潜在的越界访问。
编译时断言的优势
C++11 引入的 static_assert 允许在编译期验证条件，避免运行时开销。例如： 

template <size_t N>
void process_buffer(int (&arr)[N]) {
    static_assert(N <= 256, "Buffer size exceeds 256 elements");
}
该函数模板接受引用到固定大小数组，N 为实际数组长度。若调用时传入超过 256 个元素的数组，编译器将报错。
静态数组与边界检查
利用模板推导获取数组尺寸，可实现零成本抽象的安全检查。相比动态分配，栈上静态数组配合 static_assert 能有效阻止溢出漏洞在早期引入。

4.4 实战：重构遗留代码中的不安全拷贝逻辑

在维护大型系统时，常会遇到因浅拷贝导致的数据污染问题。尤其在结构体包含指针或引用类型时，直接赋值可能引发意外的共享状态。
问题代码示例

type User struct {
    Name string
    Data *map[string]int
}

func CopyUser(u *User) User {
    return *u  // 不安全：指针成员被共享
}
上述代码中，Data 是指向映射的指针，直接解引用复制会导致源对象与副本共享同一底层数据，修改一方会影响另一方。
安全深拷贝实现

func DeepCopyUser(u *User) User {
    newData := make(map[string]int)
    for k, v := range *u.Data {
        newData[k] = v
    }
    return User{Name: u.Name, Data: &newData}
}
通过手动分配新映射并逐项复制，确保副本完全独立。该方式虽增加开销，但消除了数据竞争风险，适用于高并发场景。
  • 浅拷贝仅复制字段值，不复制引用目标
  • 深拷贝递归复制所有层级数据
  • 性能敏感场景可结合对象池优化内存分配

第五章：构建嵌入式系统内存安全防护体系

静态分析与编译时防护
在嵌入式开发中，启用编译器的内存安全选项是第一道防线。GCC 提供了 -fstack-protector-strong 和 -Warray-bounds 等参数，可有效检测栈溢出和数组越界。 

// 启用栈保护的典型 C 代码片段
#include <string.h>

void copy_data(char *input) {
    char buffer[32];
    __builtin_memcpy(buffer, input, 32); // 安全的固定长度拷贝
}
运行时内存监控机制
部署轻量级运行时检查模块，如使用 mtrace() 跟踪动态内存分配。对于资源受限设备，可定制内存池管理器，避免碎片化并实现边界检查。
  • 启用 MPU（内存保护单元）划分执行区域与数据区
  • 配置只读段防止代码篡改
  • 定期扫描堆栈指针合法性
硬件辅助防护实践
现代 Cortex-M 系列 MCU 支持 TrustZone 技术，可划分安全与非安全世界。结合 RTOS 实现内存隔离策略，确保外设访问受控。
防护技术适用场景资源开销
Stack Canaries栈溢出检测低
MPU 区域划分多任务隔离中
动态内存钩子泄漏追踪高
实战案例：工业控制器加固
某 PLC 模块曾因字符串格式化漏洞导致远程代码执行。修复方案包括：替换 sprintf 为 snprintf，启用 IAR 编译器的深度指针分析，并在启动时初始化 MPU 以锁定关键固件页。
LogicWander
关注
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值