-fstack-protector 是 GCC 和 Clang 編譯器提供的一種棧保護（Stack Smashing Protection, SSP） 機制，用于檢測和防御常見的緩沖區溢出攻擊（特別是棧溢出）。它通過在函數的棧幀中插入特殊的“金絲雀值”（canary value）來實現保護。
這個機制的靈感來源于煤礦中的“金絲雀”——礦工會帶一只金絲雀下井，如果礦井中有毒氣，金絲雀會先死亡，從而警告礦工。
在棧保護中：
- “金絲雀”：是一個隨機的、不可預測的數值。
- “毒氣”：是惡意的緩沖區溢出攻擊。
- “金絲雀死亡”：是金絲雀值被修改，表示棧已被破壞。
1. 保護機制的工作流程
當使用 -fstack-protector 編譯時，編譯器會在特定函數的棧幀中插入以下內容：
(1) 棧幀布局變化
在未啟用保護時，一個典型的棧幀可能如下：
高地址
+------------------+
| 參數 |
+------------------+
| 返回地址 | <-- 函數返回時跳轉的目標
+------------------+
| 舊的棧幀指針 |
+------------------+
| 局部變量 | <-- 緩沖區溢出可能從此處開始
+------------------+
低地址
啟用 -fstack-protector 后，棧幀變為：
高地址
+------------------+
| 參數 |
+------------------+
| 返回地址 | <-- 攻擊者最想覆蓋的目標
+------------------+
| 舊的棧幀指針 |
+------------------+
| **金絲雀值** | <-- 保護“返回地址”的哨兵
+------------------+
| 局部變量 | <-- 緩沖區溢出從此處開始
+------------------+
低地址
關鍵變化：金絲雀值被放置在返回地址和局部變量（尤其是緩沖區）之間。
(2) 函數執行過程
-
函數入口：
- 編譯器生成的代碼會在函數開始時，從一個全局安全位置（如線程控制塊）讀取一個隨機的金絲雀值。
- 將這個值寫入棧幀中的金絲雀槽。
-
函數執行：
- 程序正常運行。如果存在緩沖區溢出漏洞（如
strcpy寫入過長的字符串到局部數組），溢出的數據會先覆蓋局部變量，然后覆蓋金絲雀值，最后才可能覆蓋返回地址。
- 程序正常運行。如果存在緩沖區溢出漏洞（如
-
函數出口：
- 在函數
return之前，編譯器插入的代碼會重新讀取棧中的金絲雀值。 - 將其與原始的金絲雀值（通常存儲在寄存器或安全位置）進行比較。
- 如果相等：說明棧未被破壞，函數正常返回。
- 如果不相等：說明金絲雀值被修改（即發生了棧溢出），程序會立即調用一個錯誤處理函數（如
__stack_chk_fail），通常會導致程序終止（abort），并可能輸出錯誤信息（如 “stack smashing detected”）。
- 在函數
2. -fstack-protector 的不同級別
GCC/Clang 提供了多個級別的棧保護，嚴格程度遞增：
| 選項 | 保護范圍 | 說明 |
|---|---|---|
-fstack-protector | 中等 | 僅保護包含長度大于 8 字節的字符數組的函數，或使用了 alloca() 的函數。這是最常用的級別，平衡了安全性和性能開銷。 |
-fstack-protector-strong | 較強 | 保護范圍更廣，包括： ? 包含任意大小的數組的函數 ? 包含地址被取走的局部變量的函數 ? 使用 alloca() 的函數? 包含 printf 風格可變參數的函數在現代編譯器中推薦使用此選項。 |
-fstack-protector-all | 最強 | 保護所有函數，無論其是否包含易受攻擊的變量。性能開銷最大，通常用于高安全要求的場景。 |
-fno-stack-protector | 無 | 顯式禁用棧保護（默認不啟用，除非系統配置開啟）。 |
3. 金絲雀值的來源與安全性
- 隨機性：金絲雀值通常在程序啟動時從系統的隨機源（如
/dev/urandom）生成，并存儲在每個線程的線程控制塊（Thread Control Block, TCB）中。 - 不可預測性：由于金絲雀值是隨機的且對攻擊者不可見，攻擊者無法輕易構造一個能同時覆蓋金絲雀值并將其設置為原始值的 payload，從而繞過檢測。
- 終止符：金絲雀值通常設計為包含字符串終止符
\0和其他特殊字節，使其難以通過標準的字符串操作函數（如strcpy）完整寫入。
4. 局限性與繞過
盡管 -fstack-protector 非常有效，但它并非萬能：
-
不保護所有溢出：
- 它主要保護返回地址不被覆蓋。
- 如果溢出只覆蓋了其他局部變量（而未到達金絲雀），這種攻擊可能不會被檢測到（例如“變量篡改”攻擊）。
-
信息泄露前提下的繞過：
- 如果攻擊者能通過其他漏洞（如格式化字符串漏洞）泄露金絲雀值，那么他們就可以在溢出時將金絲雀值恢復，從而繞過保護。
-
不防止堆溢出：
- 該機制只保護棧，對堆（heap）上的緩沖區溢出無效。
-
性能開銷：
- 每個受保護的函數都需要額外的內存（金絲雀槽）和運行時檢查（讀取、比較），會帶來輕微的性能和內存開銷。
5. 實際效果
當你在程序中觸發一個棧溢出時，如果啟用了棧保護，你通常會看到類似這樣的錯誤信息：
*** stack smashing detected ***: <program_name> terminated
Aborted (core dumped)
這表明保護機制成功檢測到了棧破壞并終止了程序，防止了更嚴重的后果（如代碼執行）。
6. 總結
-fstack-protector 通過在棧幀中插入一個“金絲雀值”來保護關鍵數據（如返回地址）。它在函數入口放置金絲雀，在函數出口檢查其完整性。如果金絲雀被修改，說明發生了棧溢出，程序會立即終止。這是一種簡單、高效且廣泛部署的安全防御機制，能有效阻止大量基于棧溢出的攻擊，是現代軟件安全編譯的基本配置之一。推薦在編譯時使用 -fstack-protector-strong 以獲得更好的保護。
