Comment les pollutions canaries de la stack sont-elles consignées?

Le drapeau GCC -fstack-protector flag permet l'utilisation de canaris de stack pour la protection contre le débordement de la stack. L'utilisation de ce drapeau par défaut a été plus importante ces dernières années.

Si un packageage est compilé avec -fstack-protector et que nous débordons un tampon dans le programme, il est probable que nous obtenions une erreur telle que:

*** buffer overflow detected ***: /xxx/xxx terminated 

Cependant, "qui" est en charge de ces messages d'erreur? Où ces messages sont-ils enregistrés? Le démon syslog sélectionne-t-il ces messages?

Le smashing de stack est détecté par libssp , qui fait partie de gcc . Il essaie très fort de sortir le message vers un terminal, et seulement si cela échoue, il se connecte au journal système – en pratique, vous verrez des messages de débordement de tampon dans les journaux pour les démons et peut-être les applications charts.

Une fois qu'il a libssp son message, libssp essaie une variété de façons de sortir, y compris l'écrasement de l'application; cela peut être intercepté par l'un des enregistreurs de sortie anormaux, mais ce n'est pas garanti.

Les dissortingbutions Linux modernes telles que CentOS / Fedora mettent en place un démon de gestion des incidents (par exemple, systemd-coredump ou abortd ), par défaut.

Ainsi, lorsque votre programme se termine de façon anormale (segfault, exception non interceptée, abandon, instruction illégale, etc.), cet événement est enregistré et enregistré par ce démon. Ainsi, vous trouvez des messages dans le journal système et éventuellement une reference à un directory avec des détails supplémentaires (par exemple, file principal, journaux, etc.).

Exemple

 $ cat test_stack_protector.c #include <ssortingng.h> int f(const char *q) { char s[10]; strcpy(s, q); return s[0] + s[1]; } int main(int argc, char **argv) { return f(argv[1]); } 

Comstackr:

 $ gcc -Wall -fstack-protector test_stack_protector.c -o test_stack_protector 

Exécuter:

 $ ./test_stack_protector 'hello world' *** stack smashing detected ***: ./test_stack_protector terminated ======= Backtrace: ========= /lib64/libc.so.6(+0x7c8dc)[0x7f885b4388dc] /lib64/libc.so.6(__fortify_fail+0x37)[0x7f885b4dfaa7] /lib64/libc.so.6(__fortify_fail+0x0)[0x7f885b4dfa70] ./test_stack_protector[0x400599] ./test_stack_protector[0x4005bd] /lib64/libc.so.6(__libc_start_main+0xea)[0x7f885b3dc50a] ./test_stack_protector[0x40049a] ======= Memory map: ======== 00400000-00401000 r-xp 00000000 00:28 1151979 /home/juser/program/stackprotect/test_stack_protector 00600000-00601000 r--p 00000000 00:28 1151979 /home/juser/program/stackprotect/test_stack_protector 00601000-00602000 rw-p 00001000 00:28 1151979 /home/juser/program/stackprotect/test_stack_protector 0067c000-0069d000 rw-p 00000000 00:00 0 [heap] 7f885b1a5000-7f885b1bb000 r-xp 00000000 00:28 1052100 /usr/lib64/libgcc_s-7-20170915.so.1 7f885b1bb000-7f885b3ba000 ---p 00016000 00:28 1052100 /usr/lib64/libgcc_s-7-20170915.so.1 7f885b3ba000-7f885b3bb000 r--p 00015000 00:28 1052100 /usr/lib64/libgcc_s-7-20170915.so.1 7f885b3bb000-7f885b3bc000 rw-p 00016000 00:28 1052100 /usr/lib64/libgcc_s-7-20170915.so.1 7f885b3bc000-7f885b583000 r-xp 00000000 00:28 945348 /usr/lib64/libc-2.25.so 7f885b583000-7f885b783000 ---p 001c7000 00:28 945348 /usr/lib64/libc-2.25.so 7f885b783000-7f885b787000 r--p 001c7000 00:28 945348 /usr/lib64/libc-2.25.so 7f885b787000-7f885b789000 rw-p 001cb000 00:28 945348 /usr/lib64/libc-2.25.so 7f885b789000-7f885b78d000 rw-p 00000000 00:00 0 7f885b78d000-7f885b7b4000 r-xp 00000000 00:28 945341 /usr/lib64/ld-2.25.so 7f885b978000-7f885b97b000 rw-p 00000000 00:00 0 7f885b9b0000-7f885b9b3000 rw-p 00000000 00:00 0 7f885b9b3000-7f885b9b4000 r--p 00026000 00:28 945341 /usr/lib64/ld-2.25.so 7f885b9b4000-7f885b9b6000 rw-p 00027000 00:28 945341 /usr/lib64/ld-2.25.so 7ffc59966000-7ffc59987000 rw-p 00000000 00:00 0 [stack] 7ffc5999c000-7ffc5999f000 r--p 00000000 00:00 0 [vvar] 7ffc5999f000-7ffc599a1000 r-xp 00000000 00:00 0 [vdso] ffffffffff600000-ffffffffff601000 r-xp 00000000 00:00 0 [vsyscall] zsh: abort (core dumped) ./test_stack_protector 'hello world' 

Le statut de sortie est 134 qui est 128 + 6, soit 128 plus le numéro de signal d'abandon.

Le journal système:

 Oct 16 20:57:59 example.org audit[17645]: ANOM_ABEND auid=1000 uid=1000 gid=1000 ses=3 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 pid=17645 comm="test_stack_prot" exe="/home/juser/program/stackprotect/test_stack_protector" sig=6 res=1 Oct 16 20:57:59 example.org systemd[1]: Started Process Core Dump (PID 17646/UID 0). Oct 16 20:57:59 example.org audit[1]: SERVICE_START pid=1 uid=0 auid=4294967295 ses=4294967295 subj=system_u:system_r:init_t:s0 msg='unit=systemd-coredump@21-17646-0 comm="systemd" exe="/usr/lib/systemd/systemd" hostname=? addr=? terminal=? res=success' Oct 16 20:57:59 example.org systemd-coredump[17647]: Process 17645 (test_stack_prot) of user 1000 dumped core. Stack trace of thread 17645: #0 0x00007f885b3f269b raise (libc.so.6) #1 0x00007f885b3f44a0 abort (libc.so.6) #2 0x00007f885b4388e1 __libc_message (libc.so.6) #3 0x00007f885b4dfaa7 __fortify_fail (libc.so.6) #4 0x00007f885b4dfa70 __stack_chk_fail (libc.so.6) #5 0x0000000000400599 f (test_stack_protector) #6 0x00000000004005bd main (test_stack_protector) #7 0x00007f885b3dc50a __libc_start_main (libc.so.6) #8 0x000000000040049a _start (test_stack_protector) Oct 16 20:57:59 example.org audit[1]: SERVICE_STOP pid=1 uid=0 auid=4294967295 ses=4294967295 subj=system_u:system_r:init_t:s0 msg='unit=systemd-coredump@21-17646-0 comm="systemd" exe="/usr/lib/systemd/systemd" hostname=? addr=? terminal=? res=success' Oct 16 20:58:00 example.org abrt-notification[17696]: Process 17645 (test_stack_protector) crashed in __fortify_fail() 

Cela signifie que vous obtenez une journalisation à partir du démon d'audit auditd et du gestionnaire de crash systemd-coredump .

Pour vérifier si un démon de gestion des incidents est configuré, vous pouvez vérifier /proc , par exemple:

 $ cat /proc/sys/kernel/core_pattern |/usr/lib/systemd/systemd-coredump %P %u %g %s %t %c %e 

(tout testé sur Fedora 26, x86-64)