[译]CERT Secure Coding Standard — C语言安全编程规范(2)

对抗整数类漏洞的第一道防线是数据有效范围检测，特别是当输入参数个数较多、进行大数运算时，整数类漏洞是最容易被触发的。具体来说，以下是最常见的整数类漏洞发生场景：
1. 数组的下标
2. 指针运算
3. 对象的长度或大小
4. 数组的边界值（例如，循环中的计数器）
5. 内存分配函数的参数
6. 关键安全代码
CERT/CC为Windows平台提供了一个IntegerLib。

atoi: (int)strtol(nptr, (char **)NULL, 10)
atol: strtol(nptr, (char **)NULL, 10)
atoll: strtoll(nptr, (char **)NULL, 10)

enum Color { red, orange, 
  yellow, green, blue, indigo,
  violet=indigo };

虽然存在相同的常量值映射，但由于采用常量依赖关系（相对偏移量）的方法定义的常量，只要不用在需要枚举常量值唯一性(switch case)的场景中是完全可以的，无论是人工代码检查还是自动化的代码检查工具都可以正确的理解和发现可能的隐藏逻辑bug。</td>

enum Color { red=4, 
  orange, yellow, 
  green, blue, indigo=6, 
  violet };

上面的代码本身没有语法错误，但如果用在switch语句中的case分支逻辑，就有可能导致“不显眼”的“短路”代码分支。 </td> </tr>

struct {
  int a: 8;
} bits = {255};

int main(void) {
  printf("bits.a = %d.\n", bits.a);
  return 0;
}

上面的代码打印-1或者255都是有可能的，原因在于编译器在编译上述代码时如何表示bits.a。上面的代码消除二意性的方法就是在定义结构体bits的时候，显式的指定结构体成员a为unsigned int或者signed int，这样就能确定性的保证bits.a的值为255或者-1。

fd = open(file_name, UO_WRONLY |
  UO_CREAT | UO_EXCL | UO_TRUNC,
  0600);

INT13-EX2: 如果是编译期可以确定的正数，则在作为移位运算符的右操作数时即使是一个signed类型值也是可以的。实例代码如下：

#define SHIFT 24
foo = 15u >> SHIFT;

const unsigned long mask = 0xFFFFFFFF;  
unsigned long x;

/* Initialize x */

x = (x ^ mask) + 1;

然后是改进后的编译器实现无关的“等价”代码：

const unsigned long mask = ~0;
unsigned long x;

/* Initialize x */

x = (x ^ mask) + 1;

double x, y, z;
/* ... */
x = (x * y) * z; /* not equivalent to x *= y * z; */
z = (x - y) + y ; /* not equivalent to z = x; */
z = x + x * y; /* not equivalent to z = x * (1.0 + y); */
y = x / 5.0; /* not equivalent to y = x * 0.2; */
  

void clear(int array[]) {
  for (size_t i = 0; 
   /* sizeof(array) == 4 on IA32 */ 
   /* sizeof(array[0]) == 4 on IA32 */
    i < sizeof(array) / sizeof(array[0]); 
    ++i) { 
     array[i] = 0;
   }
}

void dowork(void) {
  int dis[12];

  clear(dis);
  /* ... */
}
  

以下为正确代码实例：

void clear(int array[], size_t len) {
    for (size_t i = 0; i < len; i++) {
     array[i] = 0;
  }
}

void dowork(void) {
  int dis[12];

  /* sizeof(dis) / sizeof(dis[0]) == 12 */
  clear(dis, sizeof(dis) / sizeof(dis[0]));
  /* ... */
}
  

signed char / unsigned char：适合于小整数值

“plain” char: 适合于小字符集字符串表示

int: 注意使用中可能存在的二义性，如isspace(‘\200’)当参数是signed char时其结果是“未定义”的。

unsigned char: 字符串比较函数的内部使用数据结构类型，适合于任意数据类型，特别是二进制字符串的操作。

wchar_t: 宽字符用于多国语言的字符数据表示

通过system()调用传递给命令解释器

外部程序

关系型数据库

第三方COTS组件(如企业资源计划子系统)

strncpy() instead of strcpy()
strncat() instead of strcat()
fgets() instead of gets()
snprintf() instead of sprintf()
  

这些函数在字符串超过限定长度时会主动截断字符串以适应给定的缓冲区长度，但需要注意的是，类似strncpy()是不保证截断后的字符串也是以null结尾的！这就可能导致一些“隐藏”的软件漏洞。 </td> </tr>

 
  char c = '0'; /* c是数字0 */
  

char c[] = "Hello";
c[0] = 'C'; // valid
char *d = "Hello";
d[0] = 'C'; //undefined behavior
  

const char s[3] = "abc";