c - 为什么这段代码容易受到缓冲区溢出攻击？

Question

int func(char* str)
{
   char buffer[100];
   unsigned short len = strlen(str);

   if(len >= 100)
   {
        return (-1);
   }

   strncpy(buffer,str,strlen(str));
   return 0;
}

此代码容易受到缓冲区溢出攻击，我正试图找出原因。我认为这与 len 被声明为 short 而不是 int 有关，但我不太确定。

有什么想法吗？

Answer 1

在大多数编译器上，unsigned short 的最大值是 65535。

高于该值的任何值都会被环绕，因此 65536 变为 0，而 65600 变为 65。

这意味着正确长度的长字符串(例如 65600)将通过检查，并溢出缓冲区。

---

使用size_t来存储strlen()的结果，而不是unsigned short，比较len直接编码 buffer 大小的表达式。例如:

char buffer[100];
size_t len = strlen(str);
if (len >= sizeof(buffer) / sizeof(buffer[0]))  return -1;
memcpy(buffer, str, len + 1);