C语言代码安全审计，strcpy到gets的危险函数替代方案
扫描二维码
随时随地手机看文章
C语言因其高效性与底层控制能力被广泛应用于系统编程，但其历史遗留的函数设计缺陷常导致缓冲区溢出、格式化字符串攻击等安全漏洞。从strcpy到gets，这些看似便捷的函数因缺乏边界检查而成为安全审计的重点对象。本文将深入分析这些危险函数的隐患，结合现代C标准(C11及之后)与安全编程实践，探讨其替代方案及安全编码策略。
经典危险函数的隐患剖析
1. strcpy与strcat：无边界的字符串拷贝
strcpy与strcat是C标准库中最早的字符串操作函数，但其设计缺陷直接源于对目标缓冲区长度的忽视。例如：
cchar dest[10];strcpy(dest, "This string is too long!"); // 缓冲区溢出
上述代码中，dest仅10字节，但源字符串长达23字节(含终止符)，导致覆盖后续内存。攻击者可利用此类溢出篡改函数返回地址或植入恶意代码。
2. gets：不可控的输入函数
gets函数直接从标准输入读取一行，但无法限制输入长度：
cchar buf[16];gets(buf); // 若输入超过15字节，将导致溢出
gets因无法保证缓冲区安全，在C11标准中被正式移除。攻击者可通过构造超长输入触发栈溢出，甚至执行任意代码。
3. sprintf与vsprintf：格式化字符串的隐患
sprintf将格式化数据写入缓冲区，但缺乏长度检查：
cchar buf[32];sprintf(buf, "Value: %d", 1234567890); // 若数值过大，可能溢出
攻击者可利用格式化字符串漏洞(如%n)读取或修改内存，甚至控制程序流程。
4. scanf系列函数的边界风险
scanf的%s格式符同样存在溢出风险：
cchar name[16];scanf("%s", name); // 输入超过15字节将溢出
尽管scanf可通过%15s限制宽度，但需开发者显式指定，易被忽略。
现代C标准的替代方案
1. 安全字符串操作函数：strncpy与strncat
C11标准引入了边界检查的字符串操作函数，例如：
strncpy：限制拷贝的字符数，但需手动添加终止符。
cchar dest[10];strncpy(dest, "Long string", sizeof(dest) - 1);dest[sizeof(dest) - 1] = '\0'; // 确保终止符
strncat：限制追加的字符数，自动处理终止符。
cchar dest[20] = "Hello";strncat(dest, ", world!", sizeof(dest) - strlen(dest) - 1);
2. 输入函数替代：fgets与getline
fgets：替代gets，可指定最大读取长度。
cchar buf[16];fgets(buf, sizeof(buf), stdin); // 最多读取15字节+终止符
fgets会保留换行符，需手动处理(如buf[strcspn(buf, "\n")] = '\0')。
getline(POSIX扩展)：动态分配内存，避免固定缓冲区。
cssize_t n;char *line = NULL;size_t len = 0;n = getline(&line, &len, stdin); // 自动扩展缓冲区free(line); // 使用后需释放
3. 安全格式化函数：snprintf与vsnprintf
snprintf：限制写入长度，自动添加终止符。
cchar buf[32];snprintf(buf, sizeof(buf), "Value: %d", 1234567890); // 安全
若格式化结果超过缓冲区大小，snprintf会截断并返回所需长度。
vsnprintf：与vsprintf对应，支持可变参数的安全版本。
4. 替代scanf：显式长度控制
使用%Ns格式符限制输入宽度：
cchar name[16];scanf("%15s", name); // 安全
或改用fgets+sscanf组合：
cchar buf[32];fgets(buf, sizeof(buf), stdin);sscanf(buf, "%15s", name); // 二次解析
高级安全实践与工具支持
1. 编译器安全扩展
GCC的__attribute__((format))：检查格式化字符串参数。
cvoid my_printf(const char *fmt, ...) __attribute__((format(printf, 1, 2)));
Clang的静态分析：通过-fsanitize=address检测内存错误。
2. 自定义安全函数
开发者可封装更安全的函数，例如：
c// 安全字符串拷贝，自动处理终止符void safe_strcpy(char *dest, size_t dest_size, const char *src) {if (dest_size == 0) return;strncpy(dest, src, dest_size - 1);dest[dest_size - 1] = '\0';}
3. 运行时防御机制
栈保护(Stack Canaries)：编译器插入的哨兵值，检测溢出。
地址空间布局随机化(ASLR)：随机化内存地址，增加攻击难度。
非可执行栈(NX)：禁止栈内存执行代码。
4. 静态分析工具
Coverity：商业工具，可检测缓冲区溢出、未初始化变量等。
Flawfinder：开源工具，扫描C/C++代码中的已知漏洞模式。
Clang-Tidy：集成于LLVM，提供现代C++安全检查(部分适用于C)。
典型漏洞案例与修复
1. 缓冲区溢出导致控制流劫持
漏洞代码：
cvoid vulnerable(const char *input) {char buf[16];strcpy(buf, input); // 溢出风险}
修复方案：
cvoid safe(const char *input) {char buf[16];safe_strcpy(buf, sizeof(buf), input); // 安全}
2. 格式化字符串漏洞
漏洞代码：
cvoid log_message(const char *msg) {printf(msg); // 若msg含格式符(如%s)，将导致信息泄露}
修复方案：
cvoid safe_log(const char *msg) {printf("%s", msg); // 显式指定格式}
3. 动态内存分配的越界访问
漏洞代码：
cvoid read_data(int size) {char *data = malloc(size);fgets(data, size + 10, stdin); // 越界写入free(data);}
修复方案：
cvoid safe_read(int size) {char *data = malloc(size);if (!data) return;fgets(data, size, stdin); // 严格限制长度free(data);}
安全编码策略与最佳实践
避免使用危险函数：建立代码审查规则，禁止strcpy、gets等函数。
启用编译器警告：使用-Wall -Wextra -Werror将警告视为错误。
最小权限原则：限制文件、网络等操作的权限。
防御性编程：对输入长度、返回值进行显式检查。
定期安全审计：结合自动化工具与人工审查，修复潜在漏洞。
结论
C语言的安全审计需从函数选择、编码习惯到工具链支持全方位展开。strcpy、gets等危险函数的替代不仅是语法替换，更是对安全思维的重塑。现代C标准提供了strncpy、snprintf等安全函数，而编译器扩展与静态分析工具进一步降低了漏洞风险。开发者需建立“默认安全”的编码意识，在性能与安全性之间取得平衡。随着DevSecOps的普及，安全审计将逐步融入开发流程，成为保障系统可靠性的核心环节。在嵌入式系统、关键基础设施等领域，安全编码实践更是抵御网络攻击的第一道防线。
下载文档
