背景

Android應用程序在很大程度上是用Java實現的，從設計上來說，Java本身是不存在內存損壞問題。但事，使用JNI庫的本地應用程序很容易出現這種錯誤。

Android在開發過程中，使用一些不安全的系統函數，一些不好編程習慣都會導致開發的應用容易存在內存損壞(溢出、越界等)的漏洞，這種內存的問題也是攻擊者的主要攻擊對象。

此類錯誤源于編程錯誤，導致程序訪問意外的內存位置。在適當的條件下，攻擊者可以利用這種行為劫持易受攻擊程序的執行流并執行任意代碼。

利用內存損壞的主要目標通常是將程序流重定向到攻擊者放置匯編的機器指令（稱為shellcode）的位置。

下面就梳理下這種內存不安全的一些表現形式

緩沖區溢出

這描述了一個編程錯誤，即應用程序在特定操作的分配內存范圍之外進行寫入。攻擊者可以利用此漏洞覆蓋位于相鄰內存中的重要控制數據，如函數指針。緩沖區溢出以前是最常見的內存損壞缺陷，但近年來由于多種因素而變得不那么普遍。值得注意的是，開發人員意識到使用不安全的C庫函數的風險是一種常見的做法，而且捕獲緩沖區溢出錯誤相對簡單。但是，這類缺陷仍然還是存在的。

要識別潛在的緩沖區溢出，使用不安全的字符串函數（strcpy、strcat、其它以“str”前綴開頭的函數等）和潛在的易受攻擊的編程構造，例如將用戶輸入復制到有限大小的緩沖區。

對于不安全的字符串函數，應將以下內容視為危險標志：Strcat、strcpy、strncat、strlcat、strlcpy、sprintf、gets。

越界訪問

錯誤的指針運算可能導致指針或索引引用超出預期內存結構（例如緩沖區或列表）邊界的位置。當應用程序試圖寫入越界地址時，會發生崩潰或意外行為。

如果攻擊者能夠控制目標偏移量并在一定程度上操縱編寫的內容，則可能會利用代碼執行漏洞。

懸掛指針

當刪除或取消分配具有對內存位置的傳入引用的對象，但未重置對象指針時，會發生懸掛指針。

如果程序稍后使用懸空指針來調用已釋放對象的虛擬函數，雖然也可以讀取或寫入懸掛指針引用的對象變量或其他內存結構則，可能通過覆蓋原始vtable指針來劫持執行。

整數溢出

當算術運算的結果超過程序員定義的整數類型的最大值時，這將導致值“環繞”最大整數值，不可避免地導致存儲一個小值。相反，當算術運算的結果小于整數類型的最小值時，當結果大于預期值時，會發生整數下溢。特定整數上溢/下溢錯誤是否可利用取決于整數的使用方式。例如，如果整數類型表示緩沖區的長度，這可能會造成緩沖區溢出漏洞。

格式字符串漏洞

當未經檢查的用戶輸入被傳遞給C函數printf家族的格式字符串參數時，攻擊者可能會注入格式令牌（如“%C”和“%n”）以訪問內存。由于其靈活性，格式化字符串錯誤易于利用。如果程序輸出字符串格式化操作的結果，攻擊者可以任意讀取和寫入內存，從而繞過ASLR等保護功能。

常見格式字符串漏洞函數如下：

降低安全風險小方案

1.當使用整數變量進行數組索引、緩沖區長度計算或任何其他安全關鍵操作時，請驗證是否使用了無符號整數類型，并執行前提條件測試以防止整數換行的可能性。

2.不使用不安全的字符串函數，如strcpy，大多數其他以“str”前綴開頭的函數，sprint，vsprintf，gets等,可以采用安全的函數例如strncpy、memcpy_s等函數

3.如果應用程序包含C++代碼，則使用ANSI C++字符串類；

4.如果是memcpy，請確保檢查目標緩沖區至少與源緩沖區大小相同，并且兩個緩沖區不重疊。

5.不要使用沒有不受信任的數據連接到格式字符串中。

6.作為“for”或“while”循環實現的復制操作的實例，并驗證是否正確執行了長度檢查。

小結

內存損壞錯誤最好通過輸入模糊化來發現：這是一種自動黑盒軟件測試技術，通過這種技術，畸形數據會不斷發送到應用程序，以調查潛在的漏洞狀況。在此過程中，將監控應用程序的故障和崩潰。如果發生崩潰，希望（至少對安全測試人員來說）是造成崩潰的條件揭示了一個可利用的安全漏洞。

模糊測試技術或腳本(通常稱為“模糊器”)通常會以半正確的方式生成結構化輸入的多個實例。本質上，生成的值或參數至少部分被目標應用程序接受，但也包含無效元素，可能會觸發輸入處理缺陷和意外的程序行為。一個好的模糊器暴露了大量可能的程序執行路徑（即高覆蓋輸出）。輸入要么從零開始生成，要么從變異已知的有效輸入數據中導出。

編輯：黃飛

?