java - 安全标志 fstack-protector Realm library Android

Question

我开发了一个 android 应用程序，一个安全团队实现了安全测试，并向我发送了一个没有“-fstack-protector”选项的 Realm 库漏洞。原始消息:“堆栈金丝雀可以大大增加利用堆栈缓冲区溢出的难度，因为它迫使攻击者通过一些非传统方式(例如破坏堆栈上的其他重要变量)来控制指令指针。使用选项 -fstack-protector 构建“

ib/x86_64/libtool-checker.so lib/x86_64/librealm-jni.so lib/x86/libcrashlytics-envelope.so lib/x86/librealm-jni.solib/armeabi/librealm-jni.so lib/armeabi-v7a/librealm-jni.so lib/arm64-v8a/librealm-jni.so lib/mips/librealm-jni.so

我的问题是它没有它的原因是什么？或者我能做什么？或者如果有风险吗？

Answer 1

复制粘贴自:https://github.com/realm/realm-java/issues/4553

作为一个通用项目，我们必须不断评估性能和安全性之间的权衡。在这种情况下，您谈论的是在移动设备上运行的程序，因此如果攻击者具有使用 Realm 攻击应用程序的访问权限级别，他们已经可以使用普通 API 修改/查看 Realm 文件。没有一个 Java API 会允许这种攻击 vector 。

也就是说，我们还没有真正尝试启用此设置，我们需要测试它对我们的二进制大小和性能有何影响，然后才能做出任何 promise 。

虽然 Realm Java 和 Realm Core 都是开源的，因此如果您愿意，可以将此标志添加到这两个地方以构建您自己的 Realm 版本