UndefinedBehaviorSanitizer

Zadbaj o dobrą organizację dzięki kolekcji Zapisuj i kategoryzuj treści zgodnie ze swoimi preferencjami.

LOCAL_PATH:= $(call my-dir)
include $(CLEAR_VARS)

LOCAL_CFLAGS := -std=c11 -Wall -Werror -O0

LOCAL_SRC_FILES:= sanitizer-status.c

LOCAL_MODULE:= sanitizer-status

LOCAL_SANITIZE := alignment bounds null unreachable integer
LOCAL_SANITIZE_DIAG := alignment bounds null unreachable integer

include $(BUILD_EXECUTABLE)

cc_binary {

    cflags: [
        "-std=c11",
        "-Wall",
        "-Werror",
        "-O0",
    ],

    srcs: ["sanitizer-status.c"],

    name: "sanitizer-status",

    sanitize: {
        misc_undefined: [
            "alignment",
            "bounds",
            "null",
            "unreachable",
            "integer",
        ],
        diag: {
            misc_undefined: [
                "alignment",
                "bounds",
                "null",
                "unreachable",
                "integer",
            ],
        },
    },

}

LOCAL_SANITIZE:=integer
LOCAL_SANITIZE_DIAG:=integer

pixel-xl:/ # sanitizer-status ubsan
sanitizer-status/sanitizer-status.c:53:6: runtime error: unsigned integer overflow: 18446744073709551615 + 1 cannot be represented in type 'size_t' (aka 'unsigned long')

LOCAL_SANITIZE := integer_overflow
    # Optional features
    LOCAL_SANITIZE_DIAG := integer_overflow
    LOCAL_SANITIZE_BLOCKLIST := modulename_BLOCKLIST.txt

LOCAL_SANITIZE := signed-integer-overflow, unsigned-integer-overflow
    LOCAL_SANITIZE_DIAG := signed-integer-overflow, unsigned-integer-overflow

   sanitize: {
          integer_overflow: true,
          diag: {
              integer_overflow: true,
          },
          BLOCKLIST: "modulename_BLOCKLIST.txt",
       },

   sanitize: {
          misc_undefined: ["signed-integer-overflow", "unsigned-integer-overflow"],
          diag: {
              misc_undefined: ["signed-integer-overflow",
                               "unsigned-integer-overflow",],
          },
          BLOCKLIST: "modulename_BLOCKLIST.txt",
       },

Rozwiązywanie problemów

Jeśli włączysz czyszczanie danych w przypadku przepełnienia liczb całkowitych w nowych komponentach lub korzystasz z bibliotek platformy, które mają włączone czyszczenie danych w przypadku przepełnienia liczb całkowitych, możesz napotkać kilka problemów z nieszkodliwym przepełnieniem liczb całkowitych, które powoduje przerwanie. Należy przetestować komponenty z włączoną funkcją sterylizacji, aby mieć pewność, że nieszkodliwe przepełnienia zostaną wykryte.

Aby znaleźć przerwania spowodowane czyszczeniem w kompilacji użytkownika, wyszukaj SIGABRT awarie z wiadomościami o przerwaniu, które wskazują na przepełnienie wychwycone przez UBSan, takie jak:

pid: ###, tid: ###, name: Binder:###  >>> /system/bin/surfaceflinger <<<
    signal 6 (SIGABRT), code -6 (SI_TKILL), fault addr --------
    Abort message: 'ubsan: sub-overflow'

Ślad stosu powinien zawierać funkcję, która spowodowała przerwanie, ale przepełnienia występujące w funkcjach wbudowanych mogą nie być widoczne w śladzie stosu.

Aby łatwiej ustalić przyczynę, włącz diagnostykę w bibliotece, która wywołuje przerwanie, i spróbuj odtworzyć błąd. Jeśli diagnostyka jest włączona, proces nie zostanie przerwany, tylko będzie kontynuowany. Nieprzerywanie działania pomaga zmaksymalizować liczbę nieszkodliwych przepełnień w konkretnej ścieżce wykonania bez konieczności ponownego kompilowania po naprawieniu każdego błędu. Diagnostyka wygeneruje komunikat o błędzie, który zawiera numer wiersza i plik źródłowy, które spowodowały przerwanie:

frameworks/native/services/surfaceflinger/SurfaceFlinger.cpp:2188:32: runtime error: unsigned integer overflow: 0 - 1 cannot be represented in type 'size_t' (aka 'unsigned long')

Po znalezieniu problemowej operacji arytmetycznej sprawdź, czy przepełnienie jest nieszkodliwe i zamierzone (np. nie ma wpływu na bezpieczeństwo). Aby rozwiązać problem z przerwą w działaniu programu do sterylizacji:

• Refaktoryzacja kodu w celu uniknięcia przepełnienia (przykład)
• Przepełnienie w prosty sposób za pomocą funkcji __builtin_*_overflow w Clang (przykład)
• Wyłączenie funkcji oczyszczania przez określenie atrybutu no_sanitize (przykład)
• Wyłączenie oczyszczania funkcji lub pliku źródłowego za pomocą pliku BLOCKLIST (przykład)

Należy użyć jak najbardziej szczegółowego rozwiązania. Na przykład duża funkcja z wiele operacjami arytmetycznymi i jedną operacją z przepełnieniem powinna zostać przebudowana w jedną operację, a nie całą funkcję, która zostanie umieszczona na liście zablokowanych.

Do łagodnego przepełnienia może dojść w przypadku:

• Implikowane konwersje, w których przypadku przed konwersją na typ z znakami występuje przepełnienie bez znaku (przykład).
• usuwanie połączonych list, które zmniejsza indeks pętli podczas usuwania (przykład);
• Przypisanie typu bez znaku do wartości -1 zamiast podania rzeczywistej wartości maksymalnej (przykład)
• Pętle, które w warunku zmniejszają bezwzględną liczbę całkowitą (przykład, przykład).

Zalecamy, aby deweloperzy przed wyłączeniem skanowania sprawdzali, czy przypadki wykrycia przez skanowanie przepełnienia są rzeczywiście nieszkodliwe i nie mają nieprzewidzianych skutków ubocznych ani nie wpływają na bezpieczeństwo.

Wyłączanie IntSan

Możesz wyłączyć IntSan za pomocą list zablokowanych adresów lub atrybutów funkcji. Wyłączaj je oszczędnie i tylko wtedy, gdy refaktoryzacja kodu jest nieuzasadniona lub gdy występuje problem z wydajnością.

Więcej informacji o wyłączaniu funkcji IntSan znajdziesz w dokumentacji upstream Clang dotyczącej atrybutów funkcji i formatowania pliku BLOCKLIST. Lista zablokowanych powinna być ograniczona do konkretnego środka dezynfekującego, co można osiągnąć, używając nazw sekcji określających docelowy środek dezynfekujący, aby uniknąć wpływu na inne środki dezynfekujące.

Weryfikacja

Obecnie nie ma testu CTS przeznaczonego specjalnie do sprawdzania funkcji Integer Overflow Sanitization. Zamiast tego sprawdź, czy testy CTS są przeprowadzane z włączonym lub wyłączonym IntSan, aby upewnić się, że nie mają one wpływu na urządzenie.

Sanityzacja ograniczeń

BoundsSanitizer (BoundSan) dodaje do binarek mechanizmy, aby wstawiać mechanizmy kontroli zakresu wokół dostępów do tablic. Te kontrole są dodawane, jeśli kompilator nie może udowodnić w czasie kompilacji, że dostęp będzie bezpieczny, oraz jeśli rozmiar tablicy będzie znany w czasie wykonywania, aby można było go sprawdzić. Android 10 wdraża BoundSan w Bluetooth i kodeki. BoundSan jest dostarczany przez kompilator i jest domyślnie włączony w różnych komponentach na całej platformie.

Implementacja

BoundSan używa środka do dezynfekcji UBSan. Ta metoda zapobiegania jest włączona na poziomie modułu. Pomaga chronić najważniejsze komponenty Androida i nie należy go wyłączać.

Zdecydowanie zalecamy włączenie BoundSan dla dodatkowych komponentów. Najlepszym rozwiązaniem jest zaimplementowanie uprzywilejowanego kodu natywnego lub złożonego kodu natywnego, który analizuje dane wejściowe nieuczciwego użytkownika. Narzut na wydajność związany z włączeniem BoundSank zależy od liczby dostępów do tablicy, które nie mogą być uznane za bezpieczne. Należy się spodziewać niewielkiego średniego procentowego obciążenia i sprawdzać, czy skuteczność jest zadowalająca.

Włączanie BoundSan w plikach blueprint

Funkcję BoundSan można włączyć w plikach blueprintów, dodając wartość "bounds" do właściwości misc_undefined w przypadku modułów binarnych i bibliotek:

    sanitize: {
       misc_undefined: ["bounds"],
       diag: {
          misc_undefined: ["bounds"],
       },
       BLOCKLIST: "modulename_BLOCKLIST.txt",

diag

Właściwość diag umożliwia tryb diagnostyczny dla urządzeń do dezynfekcji. Tryb diagnostyczny należy stosować tylko podczas testowania. Tryb diagnostyczny nie przerywa działania w przypadku przepełnienia, co niweczy zalety zapobiegania w zakresie bezpieczeństwa i powoduje większy nakład na wydajność, dlatego nie jest zalecany w przypadku wersji produkcyjnych.

BLOCKLIST

Właściwość BLOCKLIST umożliwia określenie pliku blokady, którego programiści mogą używać do zapobiegania czyszczeniu funkcji i plików źródłowych. Używaj tej właściwości tylko wtedy, gdy masz problemy ze skutecznością, a docelowe pliki lub funkcje mają na nią znaczący wpływ. Ręcznie sprawdź te pliki lub funkcje, aby upewnić się, że dostęp do tablicy jest bezpieczny. Więcej informacji znajdziesz w sekcji Rozwiązywanie problemów.

Włączanie BoundSan w makefile

Funkcję BoundSan można włączyć w makefile, dodając "bounds" do zmiennej LOCAL_SANITIZE w przypadku modułów binarnych i bibliotek:

    LOCAL_SANITIZE := bounds
    # Optional features
    LOCAL_SANITIZE_DIAG := bounds
    LOCAL_SANITIZE_BLOCKLIST := modulename_BLOCKLIST.txt

LOCAL_SANITIZE może zawierać listę środków dezynfekujących rozdzielonych przecinkami.

LOCAL_SANITIZE_DIAG włącza tryb diagnostyczny. Tryb diagnostyczny należy stosować tylko podczas testowania. Tryb diagnostyczny nie przerywa działania w przypadku przepełnienia, co niweczy zalety zabezpieczeń w ramach zapobiegania i powoduje większy narzut na wydajność, dlatego nie jest zalecany w przypadku wersji produkcyjnych.

LOCAL_SANITIZE_BLOCKLIST umożliwia określenie pliku blokady, który pozwala deweloperom zapobiegać czyszczeniu funkcji i plików źródłowych. Używaj tej właściwości tylko wtedy, gdy masz problemy ze skutecznością, a docelowe pliki lub funkcje mają na nią znaczący wpływ. Ręcznie sprawdź te pliki lub funkcje, aby upewnić się, że dostęp do tablicy jest bezpieczny. Więcej informacji znajdziesz w sekcji Rozwiązywanie problemów.

Wyłączanie BoundSan

Możesz wyłączyć BoundSan w funkcjach i plikach źródłowych za pomocą list zablokowanych lub atrybutów funkcji. Najlepiej jest pozostawić włączoną funkcję BoundSan, więc wyłącz ją tylko wtedy, gdy funkcja lub plik powoduje znaczne spowolnienie działania i jego źródło zostało sprawdzone ręcznie.

Więcej informacji o wyłączaniu BoundSan za pomocą atrybutów funkcji i formatowania pliku BLOCKLIST znajdziesz w dokumentacji Clang LLVM. Ogranicz listę zablokowanych do konkretnego środka dezynfekującego, używając nazw sekcji określających ten środek, aby nie wpływać na inne środki dezynfekujące.

Weryfikacja

Nie ma testów CTS przeznaczonych specjalnie dla BoundSan. Zamiast tego sprawdź, czy testy CTS są przeprowadzane prawidłowo z włączonym lub wyłączonym BoundSan, aby upewnić się, że nie wpływają one na urządzenie.

Rozwiązywanie problemów

Po włączeniu BoundSan dokładnie przetestuj komponenty, aby upewnić się, że wszystkie wcześniej niewykrywalne próby dostępu poza granice zostały rozwiązane.

Błędy BoundSan można łatwo zidentyfikować, ponieważ zawierają ten komunikat o zakończeniu:

    pid: ###, tid: ###, name: Binder:###  >>> /system/bin/foobar <<<
    signal 6 (SIGABRT), code -6 (SI_TKILL), fault addr --------
    Abort message: 'ubsan: out-of-bounds'

W trybie diagnostycznym plik źródłowy, numer wiersza i wartość indeksu są drukowane w pliku logcat. Domyślnie ten tryb nie powoduje wyświetlenia komunikatu o aborcji. Sprawdź logcat, aby sprawdzić, czy nie ma błędów.

    external/foo/bar.c:293:13: runtime error: index -1 out of bounds for type 'int [24]'