[Comm] Re: Атаки типа buffer overflow

[Денис Смирнов]

On Thu, Aug 12, 2004 at 04:47:06PM +0400, Alexey Morsov wrote:

 AM> Не секрет что многое в линуксе (а точнее там где используються 
 AM> некоторые распространенные функции Си - скажем strcpy, sprintf) 
 AM> подвержено переполнению буфера - и является уязвимым место многих 
 AM> сервисов...

Я бы сказал что подавляющее большинство ошибок безопасности с этим и
связано.

Собственно проблема в том, что в C отсутствует тип данных "строка". Есть
только тип данных "указатель на символ", который и используется для работы
со строками. Следить за тем, чтобы не было записи в память, не
принадлежащую этой переменной, должен сам программист.
 
 AM> Собственно вопрос - как обстоят с этим дела и как можно 
 AM> попроверять, поисследовать, помониторить на этот счет (про snort 
 AM> слышал но не пользовался)?

Копать в сторону утилит типа valgrind, которые умеют отлавливать некоторые
проблемы такого рода. В общем случае проблема неразрешима, и является
основной причиной крайней неразумности использования языка С для написания
прикладного ПО.
 
-- 
С уважением, Денис

http://freesource.info