嵌入式代码可能存在的致命漏洞
扫描二维码
随时随地手机看文章
来源 | 电子伊甸园
微信公众号 | 嵌入式专栏
随着互联网的发展，嵌入式设备正分布在一个充满可以被攻击者利用的源代码级安全漏洞的环境中。因此，嵌入式软件开发人员应该了解不同类型的安全漏洞——特别是代码注入。
术语“代码注入”意味着对程序的常规数据输入可以被制作成“包含代码”，并且该程序可以被欺骗来执行该代码。 代码注入缺陷意味着黑客可以劫持现有进程，并以与原始进程相同的权限执行任何他们喜欢的代码。
在许多嵌入式系统中，进程需要以最高的权限运行，因此成功的代码注入攻击可以完全控制机器以及窃取数据，导致设备发生故障，将其作为其僵尸网络成员或使其永久无法使用。
代码注入漏洞的关键方面是：
该程序从输入通道读取数据
该程序将数据视为代码并对其进行编译
1 格式化字符串漏洞 大多数C程序员熟悉printf函数。大体上，这些格式字符串后跟一个其他参数的列表，并且该格式字符串被解释为一组指令，用于将剩余的参数呈现为字符串。大多数用户知道如何编写最常用的格式说明符：例如字符串，小数和浮点数——％s，％d，％f——但是不知道还有其他格式字符串指令可以被滥用。
以下是printf函数通常被滥用的一种方式。有些程序员习惯编译字符串如下：
printf（str）;
因为在C运行时没有机制可以告诉机器已经没有更多的参数了，所以printf将简单地选择恰好在堆栈中的下一个项目，将其编译为一个整数并打印出来。很容易看出，这可以用来从栈中打印任意数量的信息。例如，如果str包含'％d％d％d％d'，则将会打印堆栈上接下来四个字的值。
虽然这是一个代码注入安全漏洞，但由于它唯一可能造成的伤害就是可以被用来获取栈中的数据，所以它还是可以被原谅的。可如果位于那里的是敏感数据（如密码或证书密钥），情况就会变得很糟；而且由于攻击者还可以在那里写入任意内存地址，因此情况还可能会变得更糟。
printf（“1234％n”，＆i）;
真正对攻击者来说有价值的目标是让攻击者控制程序的执行部分。如果一个局部变量是一个函数指针，则攻击者可以通过该指针的后续调用来编写代码，实现自己的目标。当函数返回时，攻击者还可以将指令要被送达的地址覆盖重写。
2 避免代码注入
应该遵循的两个黄金规则以防止代码注入漏洞： 1.如果你可以避免的话，尽量不要将数据像代码一样编译； 2.如果你无法避免的话，请确保在使用数据之前验证数据是否良好。
为避免格式字符串的漏洞，这些规则中的第一个是最合适的; 你可以编写代码如下：
printf（“％s”，str）;
3 测试漏洞
测试这些类型的漏洞可能很困难; 即使能实现非常高的代码覆盖率的测试也不能触发这些问题。测试安全漏洞时，测试人员必须采取一个攻击者的心态。诸如模糊测试的技术可能是有用的，但是该技术通常太随机，无法高度可靠。
静态分析可以有效地发现代码注入漏洞。注意到早期生成的静态分析工具（如lint及其后代衍生产品）很不擅长发现这样的漏洞，因为想要实现精确的查找漏洞就需要完成整个程序的路径敏感分析。
最近出现的先进的静态分析工具更加有效。静态分析工具厂商对于哪些接口有危险，寻找目标的知识基础以及如何有效地进行这些工作已经积累了丰富的经验。
这里使用的关键技术是污染分析或危险信息流分析。这些工具通过首先识别潜在风险数据的来源，并对信息进行追踪，了解信息是如何通过代码不经过验证就流入正在使用的位置的。 同时这也是能实现整个流程可视化的最好工具。
4 结论
代码注入漏洞是危险的安全问题，因为它们可能允许攻击者中断程序，有时甚至完全控制程序。那些关心如何在一个充满潜在恶意的互联网环境中确保他们的嵌入式代码能够安全使用的开发人员，应该将这样的代码注入漏洞，在开发周期和严格的代码检查中尽早消除。而上面提到的高级静态分析工具是被推荐使用的。
来源：
http://www.newelectronics.co.uk/electronics-technology/code-injection-a-common-vulnerability/150031/
免责声明：本文内容由21ic获得授权后发布，版权归原作者所有，本平台仅提供信息存储服务。文章仅代表作者个人观点，不代表本平台立场，如有问题，请联系我们，谢谢！
下载文档
