На базата на Clang за езика C е реализиран режим за проверка на границите на буферите

Инженерите от компания Apple обявиха, че са готови да тестват режима «-fbounds-safety» за компилатора Clang, който предоставя гаранции за безопасна работа с буферите в кода на езика C. Режимът е включен в състава на форка LLVM, поддържан от Apple за проекта Swift. В бъдеще е планирано постепенно предаване на функционалността на «-fbounds-safety» в основната кодова база на LLVM/Clang.

Отбелязва се, че предложената защитна механика вече активно се прилага в продуктите на Apple, като ядрото XNU, фърмуерите, библиотеките за работа със звук и декодерите на изображения. Включването на режима «-fbounds-safety» намалява производителността на приложенията средно с 5% (в диапазона от -1% до 29%), увеличава размера на кода с 9.1% (в диапазона от -1.4% до 38%) и забавя компилацията с 11%.

Използването на режима «-fbounds-safety» за автоматично откриване на излизане извън границите на областта на паметта, свързана с указателя, изисква добавянето на специални анотации в кода и включването на заглавния файл «ptrcheck.h». Същността на предложената защитна методология е автоматичното прикрепване на проверки за спазване на допустимите граници, добавяни на базата на ръчно зададени анотации или известни на компилатора размери.

В отличие от използването на разширени указатели (wide pointer) в кода, при които, освен адреса, има информация за горната и долната граница на буфера, използването на режима «-fbounds-safety» не нарушава ABI (Application Binary Interface), не променя формата на експортираните указатели и не изисква преосмисляне на целия проект. В режима «-fbounds-safety» разширените указатели се прилагат само в области, които не се пресичат с ABI, а за указатели, влияещи на ABI, се използват обикновени указатели с подмяна на проверките, генерирани на базата на анотации с информация за границите.

Анотациите трябва да се прикрепят към указателите в полетата на структури и параметри на функции, сочещи към масиви от обекти, както и към глобални променливи с указатели. За указатели в локални променливи не е необходимо да се добавят анотации, тъй като те автоматично се обработват като разширени указатели, които вече включват информация за допустимите граници. Подсказките за конструкции в кода, за които е необходимо добавяне на анотации, се извеждат от компилатора при стартиране с флага «-fbounds-safety».

Моделът на защита, основаваща се на '-fbounds-safety', може да се внедрява постепенно, файл по файл, без да се прекъсва разработката на целия проект. Добавянето на защита в проекта се свежда до указване на анотации в определен файл с код, отстраняване на предупрежденията на компилиращия и извършване на тестове за работата на програмата, след което тези етапи се повтарят за следващия файл. Кодът с добавените анотации остава съвместим с обикновен C-код и компилатори, които не поддържат '-fbounds-safety' (при компилиране с други компилатори или при компилиране без флага '-fbounds-safety' просто няма да бъдат добавени допълнителни проверки на границите).

По време на работата на програмата, в случай на открито извикване извън допустимите граници, се генерира изключение и програмата завършва изпълнението си. Аварийно приключване също може да се случи при указване на некоректни анотации, затова при използване на '-fbounds-safety' е необходимо провеждането на допълнително тестване на работата на програмата.

В примера по-долу в параметъра 'int *p' е добавена анотация '__counted_by(n)', която добавя допълнителна проверка на допустимите граници, действаща по време на изпълнение. Ако се опитате да компилирате кода в режим '-fbounds-safety' без да указвате тази анотация, компилаторът ще изведе предупреждение за отсъствие на информация за границите на масива при обработката на израза 'p[i] = 0'. #include void init_buf(int *__counted_by(n) p, int n) { for (int i = 0; i < n; ++i) p[i] = 0; // в режим '-fbounds-safety' компилаторът сам ще добави проверка, аналогична на кода 'if (i = n) trap();' }

За локалните променливи с указатели проверките се прикрепват автоматично, например: void foo(int i){ char *buf = (char *)malloc(10); // за указателя buf ще бъдат запазени сведения за границите buf[i] = 0xff; // ще се добави автоматична проверка 'if (buf + i = buf + 10) trap();' }

По възможност компилаторът провежда оптимизация и изключва добавянето на излишен код, ако в кода вече съществуват необходими проверки. Например: for (size_t i = 0; i < count; ++i) { buf[i] = i; // проверка 'if (i = count) trap()' няма да бъде добавена, тъй като по-горе вече има условие 'i < count' и i не може да бъде по-малко от 0. }

Основни анотации:

• '__counted_by(N)' — определя размера на буфера в елементи от целевия тип.
• '__sized_by(N)' — определя размера на буфера в байтове.
• » __ended_by(P)» — задава граница на буфера.
• «__null_terminated» — отразява нулевия символ като край на буфера.
• «__single» — привързва указателя към един обект. Използва се по подразбиране за указатели, влияещи на ABI, освен ако не е зададена явно анотация.
• «__bidi_indexable» — разширен указател с информация за горна и долна граница. Използва се по подразбиране за указатели, които не влияят на ABI.
• «__indexable» — разширен указател с информация за горната граница.
• «__unsafe_indexable» — указател без проверка на граници (за преносимост с незакрепен код, например, за получаване на указатели от външен код).

Източник: opennet.ru