C语言安全编码摘录

我就是我 2023-06-04 10:54 74阅读 0赞

# **C语言安全编码规范** #

## **1 来源** ##

《The SEI CERT C Coding Standard, 2016 Edition》

## **2 预处理器PRE** ##

2.2避免不安全宏的参数出现副作用

一个不安全的函数宏在展开时多次使用或根本不使用某个参数，所以不要调用包含赋值、增量、减量、输入、输出等具有副作用参数的不安全宏。

<table> 
 <tbody> 
  <tr> 
   <td> <p>#define ABS(x) (((x) &lt; 0)?-(x):(x))</p> <p>int m = ABS(++n) &nbsp;</p> </td> 
  </tr> 
 </tbody> 
</table>

2.2.6NDEBUG&assert()

assert()宏是编码中整合诊断与测试的一种方便机制。assert宏的行为依赖于类对象的宏定义NDEBUG，若宏NDEBUG没有定义，assert()宏就会计算参数表达式的值，若结果为0，则调用abort()函数。若宏NDEBUG已被定义，assert宏入参表达式在断言中不会被计算。

<table> 
 <tbody> 
  <tr> 
   <td> <p>assert(i++ &gt; 0)</p> </td> 
  </tr> 
 </tbody> 
</table>

## **3 声明和初始化DCL** ##

3.4不要声明或定义保留的标识符

<table> 
 <tbody> 
  <tr> 
   <td> <p>#ifndef _MY_HEADER_H_</p> <p>#define _MY_HEADER_H</p> <p>static const size_t _max_limit = 1024; &nbsp;</p> <p>#endif /*_MY_HEADER_H_*/</p> </td> 
  </tr> 
 </tbody> 
</table>

以上\_MY\_HEADER\_H\_和 \_max\_limit 可能其它定义冲突，去掉开头的下划线。

3.5.2动态大小的结构体正确用法

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct flexArrayStruct{ </p> <p>&nbsp;&nbsp;&nbsp;size_t num;</p> <p>&nbsp;&nbsp;&nbsp;int data[];</p> <p>};</p> <p>void func(size_t array_size){ </p> <p>&nbsp;&nbsp;&nbsp;struct flexArrayStruct &nbsp;*structP = (struct flexArrayStruct *)</p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;malloc(sizeof(struct flexArrayStruct)+sizeof(int)*array_size);</p> <p>&nbsp;&nbsp;&nbsp;if (NULL == structP){ /*Handle malloc failure*/</p> <p>&nbsp;&nbsp;&nbsp;}</p> <p>&nbsp;&nbsp;&nbsp;structP-&gt;num = array_size;</p> <p>&nbsp;&nbsp;&nbsp;for(size_t i = 0; i &lt; array_size; ++i){ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;structP-&gt;data[i] = 1;</p> <p>&nbsp;&nbsp;&nbsp;}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

3.6 结构跨越信任边界时避免信息泄露

意思是说如下的结构体，因为对齐的因素，实际大小占12字节，拷贝的时候，会将填充的信息拷贝到其它地方。

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct test{ </p> <p>int a;</p> <p>char b;</p> <p>int c;</p> <p>};</p> <p>extern int copy_to_user(void *dst,void *src, size_t size);</p> <p>void do_stuff(void *usr_buf){ </p> <p>struct test arg={.a =1, .b =2, .c=3};</p> <p>copy_to_user(usr_buf, &amp;arg, sizeof(arg));</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

解决办法之一，用结构体1字节对齐。

3.7.9 超长标识符

C99外部标识符最长为31的限制

3.8不要在switch语句第一个case前声明变量

变量i被实例化为块内部自动存储值，但初始化语句不会被执行。

<table> 
 <tbody> 
  <tr> 
   <td> <p>switch(expr){ </p> <p>int i = 4;</p> <p>f(i);</p> <p>case 0:</p> <p>i = 18;</p> <p>default:</p> <p>printf(“%d\n”,i);</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

## **4 表达式EXP** ##

4.1.1不要依赖序列点之间的求值顺序

4.10.1不要比较填充数据

如下代码，如果结构体因为对齐有填充，不能用memcmp比较两个结构体的内容。

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct s{ </p> <p>char c;</p> <p>int i;</p> <p>char buffer[13];</p> <p>};</p> <p>void compare(const struct s*left, const struct s *right){ </p> <p>if (0 == memcmp(left, righe, sizeof(struct s))){ </p> <p>/**/</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

## **5 整数INT** ##

5.1.1.1保证无符号整数操作不会出现回绕

加法保护

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(unsigned int ui_a, unsigned int ui_b){ </p> <p>unsigned int usum;</p> <p>if (UINT_MAX - ui_a &lt; ui_b){ </p> <p>&nbsp;&nbsp;&nbsp;/*Handle error*/</p> <p>}else{ </p> <p>&nbsp;&nbsp;&nbsp;usum = ui_a + ui_b;</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

5.1.2.1减法操作保护

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(unsigned int ui_a, unsigned int ui_b){ </p> <p>unsigned int udiff;</p> <p>if (ui_a &lt; ui_b){ </p> <p>&nbsp;&nbsp;&nbsp;/*Handle error*/</p> <p>}else{ </p> <p>&nbsp;&nbsp;&nbsp;udiff = ui_a - ui_b;</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

5.1.3.1 乘法操作保护

测试乘法的操作数，以保证不会出现回绕.

<table> 
 <tbody> 
  <tr> 
   <td> <p>num_vertices = M;</p> <p>if (num_vertices &gt; SIZE_MAX / sizeof(vertex_t){ </p> <p>/*Handle error*/</p> <p>}</p> <p>vetices = malloc(num_vertices * sizeof(vertex_t));</p> </td> 
  </tr> 
 </tbody> 
</table>

5.2.9保证整型转换不会丢失或错误解释数据

time函数在表示当前日历时间无效时，会将\-1转换为time\_t类型后的值。如果time\_t的精度小于signed int的无符号整数类型，那么下面转换有误。

5.3.3.1有符号整数加法保护

两端都要做溢出保护

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(signed int si_a, signed int si_b){ </p> <p>signed int sum;</p> <p>if(((si_b &gt; 0)&amp;&amp; (si_a &gt; (INT_MAX -si_b))) ||</p> <p>&nbsp;&nbsp;((si_b &lt; 0)&amp;&amp;(si_a &lt; (INT_MIN-si_b)))){ </p> <p>/*Handle error*/</p> <p>&nbsp;&nbsp;&nbsp;&nbsp;}else{ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sum = si_a + si_b;</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

5.4.1有符号除法保护

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(signed long s_a, signed long s_b){ </p> <p>&nbsp;&nbsp;&nbsp;signed long result;</p> <p>&nbsp;&nbsp;&nbsp;if ((s_b ==0) || ((s_a == LONG_MIN)&amp;&amp;(s_b == -1))){ </p> <p>&nbsp;&nbsp;&nbsp;}else{ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;result = s_a / s_b;</p> <p>&nbsp;&nbsp;&nbsp;}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

5.5.2不要将表达式移动负数位或者移动大于等于操作数中存在的位数

无符号类型左位移保护

<table> 
 <tbody> 
  <tr> 
   <td> <p>#include &lt;limits.h&gt;</p> <p>#include &lt;stddef.h&gt;</p> <p>#include &lt;inttypes.h&gt;</p> <p>extern size_t popcount(uintmax_t);</p> <p>#define PRECISION(x) popcount(x)</p> <p>&nbsp;</p> <p>void func(unsigned int ui_a, unsigned int ui_b){ </p> <p>&nbsp;&nbsp;&nbsp;unsigned int uresult = 0;</p> <p>&nbsp;&nbsp;&nbsp;if (ui_b &gt;= PRECISION(UINT_MAX)){ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/*Handle error*/</p> <p>&nbsp;&nbsp;&nbsp;}else{ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;uresult = ui_a &lt;&lt; ui_b;</p> <p>&nbsp;&nbsp;&nbsp;}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

5.6.1使用正确的整数精度

在C中整数类型包含大小和精度两部分，大小表示一个对象使用的字节数，可以通过sizeof得到。一个整数类型的精度是它用来表示值的位数，不包括任何符号位和填充位。

例如，在一个平台上用64位来存储无符号整数，但仅用48位表示值，左移56位将导致未定义的行为。

## **6 浮点数FLP** ##

6.1.1不要用浮点数作为循环计数器

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(void){ </p> <p>for(float x = 0.1f; x &lt;= 1.0f; x+= 0.1f){ </p> <p>/*Loop may iterate 9 or 10times*/</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

6.1.3 浮点数精度导致死循环

<table> 
 <tbody> 
  <tr> 
   <td> <p>for(float x = 100000001.0f; x &lt;= 100000010.0f; x += 1.0f){ </p> <p>/*Loop may not terminate*/</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

6.3.2float转int要确保float值的范围适合int

<table> 
 <tbody> 
  <tr> 
   <td> <p>extern size_t popcount(uintmax_t);</p> <p>#define PRECISION(umax_value) popcount(umax_value)</p> <p>void func(float f_a){ </p> <p>int i_a;</p> <p>if (PRECISION(INT_MAX) &lt; log2f(fabsf(f_a)) ||</p> <p>&nbsp;&nbsp;&nbsp;(f_a != 0.0F &amp;&amp; fabs(f_a) &lt; FLT_MIN)){ </p> <p>/*Handle error */</p> <p>}else{ </p> <p>&nbsp;&nbsp;i_a = f_a;</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

6.5.1不要使用对象表示来比较浮点值

\-0.0 和 0.0是等价的，但是对象表示中使用的位模式是不相同的。

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct S{ </p> <p>&nbsp;&nbsp;int i;</p> <p>&nbsp;&nbsp;float f;</p> <p>};</p> <p>bool are_equal(const struct S *s1, const struct S *s2){ </p> <p>&nbsp;&nbsp;if (!s1 &amp;&amp; !s2)return true;</p> <p>&nbsp;&nbsp;else if (!s1 || !s2) return false;</p> <p>&nbsp;&nbsp;return 0 == memcmp(s1, s2, sizeof(struct S));</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

## **7 数组ARR** ##

7.1.8索引超出范围的访问

多维数组访问时，数组下标不要搞混了。

7.2.4确保变长数组的大小参数在有效范围内

<table> 
 <tbody> 
  <tr> 
   <td> <p>enum {N1 = 4096};</p> <p>void *func(size_t n2){ </p> <p>if (n2 &gt; SIZE_MAX/(N1*sizeof(int))){ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;return NULL;</p> <p>}</p> <p>typedef int A[n2][N1];</p> <p>A *array = malloc(sizeof(A));</p> <p>if (!array){ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;return NULL;</p> <p>}</p> <p>/*init*/</p> <p>return array;</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

## **8 字符和字符串STR** ##

8.1.1不要试图修改字符串常量

<table> 
 <tbody> 
  <tr> 
   <td> <p>char *p = “string literals”;</p> <p>p[0] = ‘S’; //<span style="font-family:'宋体';">未定义行为</span></p> </td> 
  </tr> 
 </tbody> 
</table>

8.2保证字符串的存储具有足够的空间容纳字符数据和null结尾符

<table> 
 <tbody> 
  <tr> 
   <td> <p>void copy(size_t n, char src[n], char dest[n]){ </p> <p>&nbsp;&nbsp;&nbsp;size_t i;</p> <p>&nbsp;&nbsp;&nbsp;for (i = 0; src[i] &amp;&amp; (i &lt; n-1); ++i){ &nbsp;//<span style="font-family:'宋体';">合规解决方法</span></p> <p>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dest[i] = src[i];</p> <p>&nbsp;&nbsp;&nbsp;}</p> <p>&nbsp;&nbsp;&nbsp;dest[i] = ‘\0’;</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

8.2.9 fscanf()合规方法，防止缓冲区溢出

<table> 
 <tbody> 
  <tr> 
   <td> <p>void get_data(void){ </p> <p>char buf[1024];</p> <p>if (1 != fscanf(stdin, “%1023s”, buf)){ </p> <p>&nbsp;&nbsp;&nbsp;/*Handle error*/</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

8.3不要将非null结尾的字符序列当做字符串传递给库函数

<table> 
 <tbody> 
  <tr> 
   <td> <p>void func(void){ </p> <p>char c_str[3] = “abc”;</p> <p>printf(“%s\n”,c_str); /*<span style="font-family:'宋体';">没有</span><span style="font-family:'Times New Roman';">null</span><span style="font-family:'宋体';">结尾的字符序列，传给了</span><span style="font-family:'Times New Roman';">printf*/</span></p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

## **9 内存管理MEM** ##

9.3.5含有灵活数据成员的结构拷贝

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct flex_array_struct{ </p> <p>size_t num;</p> <p>int data[];</p> <p>};</p> <p>void print_array(struct flex_array_struct struct_p){ </p> <p>for (size_t i = 0; i &lt; struct_p.num; ++i){ </p> <p>&nbsp;&nbsp;&nbsp;&nbsp;printf(“%d”, struct_p.data[i]); &nbsp;/*error当以传值方式传递入参时，灵活数组成员的大小不会被考虑，因此，只有<span style="font-family:'Times New Roman';">num</span><span style="font-family:'宋体';">被拷贝</span>*/</p> <p>}</p> <p>}</p> </td> 
  </tr> 
 </tbody> 
</table>

9.4.3只释放动态分配的内存

下面的不合规代码中，realloc的参数，buf不是指向动态分配的内存。

<table> 
 <tbody> 
  <tr> 
   <td> <p>char buf[1024];</p> <p>char *p = (char *)realloc(buf, 2048); &nbsp;/*error*/</p> </td> 
  </tr> 
 </tbody> 
</table>

9.5.4为对象分配足够的内存

<table> 
 <tbody> 
  <tr> 
   <td> <p>struct tm *tmb;</p> <p>tmb = (struct tm *)malloc(sizeof(tmb)); /*<span style="font-family:'宋体';">错误，只申请了指针所占的大小</span><span style="font-family:'Times New Roman';">*/</span></p> </td> 
  </tr> 
 </tbody> 
</table>

9.6不要使用realloc()修改对齐的内存

转载于:https://www.cnblogs.com/sunnypoem/p/11368473.html