作者gn00618777 (非常念舊)
看板C_and_CPP
標題[問題] strcpy memcpy strncpy 風險問題
時間Sat Sep 19 09:53:15 2020
網路上介紹 strcpy strcmp 這些相關function有些風險，就是可能會造成 memory
越界問題。所以使用 strncpy strncmp 這些來替代。
原因是strcmp(a,b)，b若沒有空字元結尾，他會一直比下去，會有存取到未知memory
風險。所以用strncmp代替。
現在我開發nRF5 BLE 相關系列。BLE底層callback回來有 uint8_t *p_data 和長度。
我從APP傳過去是一個 device name，callback接收到後只會是hex byte由 p_data指向
請問你們把它存成字串會是怎樣的安全作法?
1 在BLE內先宣告長度20的陣列。array[0]= p_data
array[1]= p_data+1
..
array[18] = p_data+18
array[19] = '\0'
2 memcpy(array, p_data, sizeof(array));
第二種我不確定安不安全。假設p_data沒有到20那麼長，不就也會把p_data指向的
memory越界了嗎?
請多多指教QQ
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.171.140.98 (臺灣)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/C_and_CPP/M.1600480402.A.20A.html
1F：推 CoNsTaR: 所以你才會需要 dependent types 啊？ 09/19 10:59
2F：→ CoNsTaR: 不過 cpp 的話放棄吧，不會有 dependent types 的 orz 09/19 10:59
3F：→ Lipraxde: 你要先知道 device name 最常能到多長，或是自己決定， 09/19 11:20
4F：→ Lipraxde: 太長就當掉。不然就是改用 malloc 的方式 09/19 11:20
5F：推 b0920075: 把你要用的區域先初始化為0，確定複製字串的範圍不要超 09/19 12:37
6F：→ b0920075: 出大小就好了吧 09/19 12:37
7F：推 CoNsTaR: 這很明顯就是須要 dependent types 啊，除了 dependent t 09/19 18:29
8F：→ CoNsTaR: ypes（或靜態分析，如果陣列長度是編譯期確定的話）以外 09/19 18:29
9F：→ CoNsTaR: 還有什麼方法可以在不改變 callback 實作的條件下確保沒 09/19 18:29
10F：→ CoNsTaR: 有 out of bound access？ 09/19 18:30
11F：推 CoNsTaR: 不過如果你信任 callback 不會亂來的話，就用 malloc + 09/19 18:35
12F：→ CoNsTaR: 清零的方式吧 09/19 18:35
13F：→ Lipraxde: 誒... callback 不是他自己寫嗎？還是我誤會了？OuO 09/19 18:52
14F：→ james732: 話說對array取sizeof是有點危險的 09/19 20:25
15F：推 Schottky: strcmp 狀況不一樣，並不會有風險，比對到不同就停了 09/19 20:58
16F：→ Schottky: strncmp 只是用在你只想比前 N 個字元的狀況 09/19 20:59
17F：→ Schottky: 那個 N 值並不適合用來做邊界限制 09/19 21:00
18F：推 b0920075: 硬要說的話 strcmp 會有 side channel attack ，也不是 09/20 11:01
19F：→ b0920075: 多安全就是了 09/20 11:01
20F：推 CoNsTaR: strcmp 如果兩個字串相同而且都沒有結尾還是不安全吧？ 09/20 13:48
21F：推 LPH66: 那這就是不符合 strcmp 的要求的參數了 -- strcmp 是比較 09/21 18:46
22F：→ LPH66: null-terminated string 的, 不是這樣的字串不能用 09/21 18:46
23F：→ LPH66: cppref 上是寫若指標不是指向此種字串則是 UB 09/21 18:47
24F：→ LPH66: 也就是說: 很遺憾的, 又是個容易寫得出來的 UB 09/21 18:48
25F：推 CoNsTaR: 不過說實在的，標準寫得再嚴格，它 type 就是長那樣 09/22 01:07
26F：→ CoNsTaR: 標準說不允許的東西就是隨便都能造得出來 09/22 01:07
27F：→ CoNsTaR: 要是文件、標準真的有用，幹嘛不通通寫文件就好了，還寫 09/22 01:07
28F：→ CoNsTaR: 程式幹嘛 XD 09/22 01:07
29F：→ loveme00835: 寫希佳佳分為兩種人: 追隨標準的人; 還有制定標準的 09/23 05:54
30F：→ loveme00835: 人. 標準某種程度上來說反映了當代技術的水平, 還有 09/23 05:54
31F：→ loveme00835: 寫碼習慣. 一個人如果明白語言定義的 abstract ma 09/23 05:54
32F：→ loveme00835: chine 和 physical machine 的差異以及設計目的, 那 09/23 05:54
33F：→ loveme00835: 寫碼就會更有可攜性, 也更安全. 09/23 05:54
34F：→ gn00618777: 回某樓callback是BLE software ，是一個沙盒無法動 09/23 21:53
35F：→ gn00618777: 我目前就是用既定大小的空間，先初始為0，並確保來的 09/23 21:54
36F：→ gn00618777: p_data大小不超過既定範圍 09/23 21:54
37F：→ Lipraxde: 雖然，還是不太懂你寫的是哪邊的程式，但是反正只要確 09/24 01:45
38F：→ Lipraxde: 保自己寫的程式是 OK 的，行有餘力再考慮怎麼避免其他 09/24 01:45
39F：→ Lipraxde: 人寫出有問題的就好。 09/24 01:45
40F：推 CoNsTaR: "abstract machine 和 physical machine" is a fancy way 09/24 05:50
41F：→ CoNsTaR: of saying semantics lol, people who invented that sh 09/24 05:50
42F：→ CoNsTaR: ould definitely get a nobel in literature imo 09/24 05:50
43F：→ CoNsTaR: And yeah that's exactly what I was taking about. Inst 09/24 05:51
44F：→ CoNsTaR: ead of having your types (which is the ACTUAL program 09/24 05:51
45F：→ CoNsTaR: that you compile) correct, you choose to have your d 09/24 05:51
46F：→ CoNsTaR: ocuments (which is a part of std) correct. I honestly 09/24 05:51
47F：→ CoNsTaR: kinda don't see how this whole "praising std" thing 09/24 05:51
48F：→ CoNsTaR: would work, but I'll take your words for that before 09/24 05:51
49F：→ CoNsTaR: I finally figure it out. I mean, if I could. 09/24 05:51