使用微信扫一扫
扫一扫关注官方微信 严防缓冲区溢出攻击的防御策略
- 来源：纵横数据
- 作者：中横科技
- 时间：2013/1/31 15:04:48
- 类别：新闻资讯
了解了缓冲区溢出是如何发生的以后，如何防止黑客利用缓冲区溢出攻击并控制你的本地应用程序就是一个很重要的问题了。
避免使用编译器中自带的库文件
编程语言通常都要带有库文件。如果一个库文件具有某些漏洞，任何包括该库文件的应用程序就都会有这些漏洞。因此，黑客往往会先试图利用常用的库文件中已知的漏洞来达到攻击本地应用程序的目的。
库文件本身也不可靠。虽然最新的编译器都开始加入大量可靠的库文件，但长期以来库文件为了提供了快速、简单的方式来完成任务，几乎没有考虑到安全编码的问题。C + +编程语言就是这种形式的最典型代表。而用C + +编写的程序中依赖的标准库就很容易在运行时产生错误，这也为希望利用缓冲区溢出进行攻击的黑客们提供了实现他们想法的机会。
验证所有的用户输入
要在本地应用程序上验证所有的用户输入，首先要确保输入字符串的长度是有效长度。举个例子，假设你的程序设计的是接受50个文本字符的输入，并将它们添加到数据库里。如果用户输入75个字符，那么他们就输入了超出数据库可以容纳的字符，这样以来谁都不能预测程序接下来的运行状况。因此，用户的输入应该这样设计：在用户输入文本字符串时，先将该字符串的长度同最大允许长度进行比较，在字符串超过最大允许长度时能对其进行必要的拦截。
过滤掉潜在的恶意输入
过滤是另一个很好的防御措施。先看下面例子中的ASP代码：
这是从用户的输入中过滤掉HTML代码，撇号和引号的代码。
strNewString = Request.Form("Review")
strNewString = Replace(strNewString, "&", "& amp;")
strNewString = Replace(strNewString, "<", "& lt;")
strNewString = Replace(strNewString, ">", "& gt;")
strNewString = Replace(strNewString, "'", "`")
strNewString = Replace(strNewString, chr(34), "``")
上面的代码用于目前我正在开发的电子商务网站中。这样做的目的是为了过滤掉可能会导致数据库出现问题的HTML代码和符号。在HTML代码中，使用"<"和">"的符号来命名一个HTML标签。为了防止用户可能会在他们的输入里嵌入HTML代码，因此程序过滤掉了"<"和">"符号。
在ASP代码中，撇号，引号和连字符都是保留符号。这些保留的符号不可以包括在用户的输入中，否则它们会导致应用程序崩溃。例如，如果用户输入一个文本行中只使用了一个撇号，之后登陆数据库时，这个命令将会失败，因为ASP需要利用成对的撇号将文本括起来提交到数据库里;ASP不知道如何处理用户的输入中的撇号。为了防止这种情况发生，以上的代码可以寻找到输入字符串中的撇号，并以“'“替代它。
测试应用程序
为了保护程序免受缓冲区溢出的攻击，验证和过滤用户的输入已经实施很久了。但在部署应用程序之前，你仍然需要对它进行全面彻底的测试。应当有专门的人来仔细地审查应用程序，并试图使它们崩溃。让他们尝试输入长的字符串或保留字符。如果你的应用程序在编写中已经做了足够的工作，它应该能应付各种各样的情况。如果程序崩溃了，最好马上把问题找出来，而不要等到已经应用之后。
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
纵横数据迎中秋国庆佳节,双节大礼包回馈客户活动
>>>>>>>>>>点我免费在线咨询<<<<<<<<<<
业务咨询O、O、：289715452 / 756673127 / 519082853
服热线电话：0592-5580195 / 189165134113
※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※※
纵横数据提供特价的香港服务器,美国服务器,每款限量100台.
1.香港服务器感恩优惠中
CPU：酷睿双核E5200/G620T
內存:2G 内存
硬盘:80G/160G/250G硬盘
带宽:3M独享国际带宽
默认IP:5IP
费用: 750元/月
操作系统:任选,无限制.
2.香港至强服务器特卖中
CPU：四核至强 E3-1220L V2
內存:4G 内存
硬盘:500G硬盘
带宽:3M独享国际带宽
默认IP:5IP
费用:
四核志强 1200月 4G內存
四核志强 1300月 8G內存
操作系统:任选,无限制.
3.美国高端配置企业级服务器专用
CPU:E3-1230 V2 四核八线程志强
内存:8G DDR2
硬盘:1x1TB HDD
带宽:100M
超大流量,月流量:10*1000GB
默认IP:5IP
费用:1399元/月
免费支持linux/centos/ubuntu/redhat
免费支持中文win2003（英文win2003/win2008系统,价格另加!）
纵横数据是顶级的海外服务器,海外主机,海外域名提供商;专业提供国外服务器,海外空间,海外云主机及香港服务器租用,美国服务器租用,台湾服务器租用,马来西亚服务器租用,韩国服务器租用,德国服务器,英国服务器,法国服务器等海外服务器租用托管,是海外互联网业务和海外营销解决方案领导者。
