嵌入式代码注入漏洞浅析

随着互联网的发展，嵌入式设备正分布在一个充满可以被攻击者利用的源代码级安全漏洞的环境中。因此，嵌入式软件开发人员应该了解不同类型的安全漏洞——特别是代码注入。

术语“代码注入”意味着对程序的常规数据输入可以被制作成“包含代码”，并且该程序可以被欺骗来执行该代码。代码注入缺陷意味着黑客可以劫持现有进程，并以与原始进程相同的权限执行任何他们喜欢的代码。

在许多嵌入式系统中，进程需要以最高的权限运行，因此成功的代码注入攻击可以完全控制机器以及窃取数据，导致设备发生故障，将其作为其僵尸网络成员或使其永久无法使用。

代码注入漏洞的关键方面是：

在大多数情况下，程序故意像执行代码一样执行数据是不寻常的，但将数据用于构造有意执行的对象却很常见。

大多数C程序员熟悉printf函数。大体上，这些格式字符串后跟一个其他参数的列表，并且该格式字符串被解释为一组指令，用于将剩余的参数呈现为字符串。大多数用户知道如何编写最常用的格式说明符：例如字符串，小数和浮点数——％s，％d，％f——但是不知道还有其他格式字符串指令可以被滥用。

以下是printf函数通常被滥用的一种方式。有些程序员习惯编译字符串如下：

虽然这将在大部分时间内都具有所期望的效果，但它是错误的，因为printf的第一个参数将被编译为格式字符串。所以，如果str包含任何格式说明符，它们就将被这样编译。例如，如果str包含'％d'，它会将printf参数列表中的下一个值解释为整数，并将其转换为字符串。在这种情况下，没有更多的参数，但机器在执行的时候并不了解这一点; 它所知道的全部是，函数的一些参数已经被推送到堆栈。

因为在C运行时没有机制可以告诉机器已经没有更多的参数了，所以printf将简单地选择恰好在堆栈中的下一个项目，将其编译为一个整数并打印出来。很容易看出，这可以用来从栈中打印任意数量的信息。例如，如果str包含'％d％d％d％d'，则将会打印堆栈上接下来四个字的值。

虽然这是一个代码注入安全漏洞，但由于它唯一可能造成的伤害就是可以被用来获取栈中的数据，所以它还是可以被原谅的。可如果位于那里的是敏感数据（如密码或证书密钥），情况就会变得很糟；而且由于攻击者还可以在那里写入任意内存地址，因此情况还可能会变得更糟。

使这种糟糕情况的发生成为可能的是格式说明符'％n'。通常，相应的参数是指向整数的指针。当格式字符串为了建立结果字符串而被编译时，一遇到'％n'，到目前为止写入的字节数就被放置到由该指针所指示的存储单元中了。例如，在下面的printf完成之后，i中的值将为4：

如果函数的实际参数比格式说明符更少，那么printf会将任何在堆栈上的数据作为参数编译。因此，如果攻击者可以控制格式字符串，那么它们可以将基本上任意的值写入堆栈位置。因为堆栈是局部变量所在的位置，所以它们的值可以被改变。如果这些变量中有一些是指针，那么这个平台甚至可以到达其他非堆栈地址。

真正对攻击者来说有价值的目标是让攻击者控制程序的执行部分。如果一个局部变量是一个函数指针，则攻击者可以通过该指针的后续调用来编写代码，实现自己的目标。当函数返回时，攻击者还可以将指令要被送达的地址覆盖重写。

避免代码注入的最佳方法是通过设计。如果您可以使用一种永远不会出现漏洞的语言，那么这是最好的因为您的代码在构建时就是对一切攻击免疫的。或者您可以通过设计代码来禁止可能导致这些问题的接口。不幸的是，在嵌入式系统中，这些选择并不总是可行的。即使C是一种危险的语言，充斥着漏洞，但它仍然是许多组织架构的首选语言。鉴于此，开发人员应该了解其他避免代码注入的方法。

应该遵循的两个黄金规则以防止代码注入漏洞：

1.如果你可以避免的话，尽量不要将数据像代码一样编译；

2.如果你无法避免的话，请确保在使用数据之前验证数据是否良好。

为避免格式字符串的漏洞，这些规则中的第一个是最合适的; 你可以编写代码如下：

这样，str的内容只被视为数据。这是最不费脑子的办法，只要你能找到所有应该做出这种修改的地方。但这对于大型程序来说可能是棘手的，特别是对于第三方代码库。

测试这些类型的漏洞可能很困难; 即使能实现非常高的代码覆盖率的测试也不能触发这些问题。测试安全漏洞时，测试人员必须采取一个攻击者的心态。诸如模糊测试的技术可能是有用的，但是该技术通常太随机，无法高度可靠。

静态分析可以有效地发现代码注入漏洞。注意到早期生成的静态分析工具（如lint及其后代衍生产品）很不擅长发现这样的漏洞，因为想要实现精确的查找漏洞就需要完成整个程序的路径敏感分析。

最近出现的先进的静态分析工具更加有效。静态分析工具厂商对于哪些接口有危险，寻找目标的知识基础以及如何有效地进行这些工作已经积累了丰富的经验。

这里使用的关键技术是污染分析或危险信息流分析。这些工具通过首先识别潜在风险数据的来源，并对信息进行追踪，了解信息是如何通过代码不经过验证就流入正在使用的位置的。 同时这也是能实现整个流程可视化的最好工具。

4 结论

代码注入漏洞是危险的安全问题，因为它们可能允许攻击者中断程序，有时甚至完全控制程序。那些关心如何在一个充满潜在恶意的互联网环境中确保他们的嵌入式代码能够安全使用的开发人员，应该将这样的代码注入漏洞，在开发周期和严格的代码检查中尽早消除。而上面提到的高级静态分析工具是被推荐使用的。