На базата на Clang за езика C е реализиран режим за проверка на границите на буферите

Инженерите от компанията Apple обявиха готовността си за тестване на режима «-fbounds-safety» за компилатора Clang, който предоставя гаранции за безопасна работа с буферите в кода на език C. Режимът е включен в състава на форка LLVM, поддържан от Apple за проекта Swift. В бъдеще е планирано постепенно предаване на функционалността «-fbounds-safety» в основната кодова база LLVM/Clang.

Отбелязва се, че предложенът механизъм за защита вече активно се прилага в продуктите на Apple, като ядрото XNU, фърмуерите, библиотеките за работа със звук и декодерите на изображения. Включването на режима «-fbounds-safety» намалява производителността на приложенията средно с 5% (от -1% до 29%), увеличава размера на кода с 9.1% (от -1.4% до 38%) и забавя компилацията с 11%.

Използването на режима «-fbounds-safety» за автоматично откриване на излизане от границите на паметта, свързана с указателя, изисква добавяне в кода на специални анотации и включване на заглавния файл «ptrcheck.h». Същността на предложеното защитно решение е автоматичното прикрепване на проверки за спазване на допустимите граници, добавяни на базата на ръчно зададени анотации или известни на компилатора размери.

В отличие от използването в кода на разширени указатели (wide pointer), при които освен адреса се съдържат информация за горната и долната граница на буфера, използването на режима «-fbounds-safety» не нарушава ABI (Application Binary Interface), не променя формата на експортираните указатели и не изисква преработка на целия проект наведнъж. В режима «-fbounds-safety» разширените указатели се прилагат само в области, които не се пресичат с ABI, а за указателите, които влияят на ABI, се използват обикновени указатели с прилагане на проверки, генерирани на база анотации с информация за границите.

Анотациите трябва да се прикрепят към указателите в полетата на структурите и параметрите на функциите, сочещи към масив от обекти, както и към глобалните променливи с указатели. За указателите в локалните променливи анотациите не трябва да се добавят, тъй като те автоматично се обработват като разширени указатели, които вече включват информация за допустимите граници. Подсказки за конструкциите в кода, за които е необходимо добавяне на анотации, се извеждат от компилатора при стартиране с флага «-fbounds-safety».

Моделът за защита, основан на „-fbounds-safety“, може да бъде внедрен поетапно, файл по файл, без да се прекъсва разработката на целия проект. Добавянето на защита в проекта се свежда до указване на анотации в определен файл с код, отстраняване на предупрежденията на компилатора и провеждане на тестове на работата на програмата, след което тези етапи се повтарят за следващия файл. Кодът с добавените анотации остава съвместим с обикновения Си код и компилаторите, които не поддържат „-fbounds-safety“ (при компилирането с други компилатори или при компилиране без флага „-fbounds-safety“ просто няма да бъдат добавени допълнителни проверки на границите).

По време на работа на програмата, при откритие на достъп извън допустимите граници, се генерира изключение и програмата приключва изпълнението си. Аварийното приключване също може да настъпи при указване на некоректни анотации, затова при използване на „-fbounds-safety“ е необходимо провеждането на допълнително тестване на работата на програмата.

В примера по-долу в параметъра „int *p“ е добавена анотация „__counted_by(n)“, която вкарва допълнителна проверка на допустимите граници, действаща по време на изпълнение. Ако се опитате да компилирате кода в режим „-fbounds-safety“ без указване на тази анотация, компилаторът ще изведе предупреждение за отсъствието на информация за границите на масива при обработка на израза „p[i] = 0“. #include void init_buf(int *__counted_by(n) p, int n) { for (int i = 0; i < n; ++i) p[i] = 0; // в режим „-fbounds-safety“ компилаторът сам ще добави проверка, аналогична на кода „if (i = n) trap();“ }

За локални променливи с указатели проверките се прилагат автоматично, например: void foo(int i){ char *buf = (char *)malloc(10); // за указателя buf ще бъдат запазени сведения за границите buf[i] = 0xff; // ще бъде автоматично добавена проверка „if (buf + i = buf + 10) trap();“ }

По възможност компилаторът провежда оптимизация и изключва добавянето на излишен код, ако в кода вече има необходимите проверки. Например: for (size_t i = 0; i < count; ++i) { buf[i] = i; // проверка "if (i = count) trap()" няма да бъде добавена, тъй като по-горе вече има условие „i < count" и i не може да бъде по-малко от 0. }

Основни анотации:

• „__counted_by(N)“ — определя размера на буфера в елементи на целевия тип.
• „__sized_by(N)“ — определя размера на буфера в байтове.
• » __ended_by(P)» — задава горната граница на буфера.
• «__null_terminated» — взима предвид нулевия символ като край на буфера.
• «__single» — свързва указателя с един обект. Използва се по подразбиране за указатели, които влияят на ABI, освен ако не е зададена явно анотация.
• «__bidi_indexable» — разширен указател с информация за горна и долна граница. Използва се по подразбиране за указатели, които не влияят на ABI.
• «__indexable» — разширен указател с информация за горната граница.
• «__unsafe_indexable» — указател без проверка на границите (за преносимост с незаслужен код, например, за получаване на указатели от външен код).

Източник: opennet.ru