P I S A J o u r n a l
Professional Information Security Association
MAR-2010
Issue
應用與安全
11
古老的咒語：Buffer Overflow
缺乏安全編碼規範 (Coding Guideline)及政策 安全編碼規範可以說是安全培訓的兄弟，培訓做得不好，大概安全安 全編碼規範也會欠奉。 而當培訓工作“可能”會側重安全漏洞（不要做什麽），安全編碼規範 肯定要以正確編程爲主要目的（要做什麽）。以Buffer Overflow 爲 例，安全編碼規範應有以下要求： • 那些API在企業內被禁止 • 要傳一個可擦寫的buffer 時，界面要同時提供buffer 大小 • 當要做輸入檢查時，應該用哪一個常規表達式的鏈接庫 (Regular Expression Library)
Buffer Overflow 可以很複雜 以下的程序片斷是libPNG在2004 年1.2.5版本的一個Buffer Overflow 漏洞，由于依賴libPNG的程序很多，所以 當時這個漏洞也引致好一些程序需要安裝補丁。但其實這個漏洞比較難找，有豐富經驗的編程人員也不一定可 以找出來。因爲驟眼看來，程序好像是有檢查Buffer 大小，所以好像是沒有問題一樣。
Page 25 of 34
An Organization for Information Security Professionals