6.54 Проверка размера объектов встроенными функциями

GCC реализует ограниченный механизм защиты от переполнения буфера, который может предотвратить некоторые атаки с переполнением буфера.

Для многих распространённых функций работы со строками добавлены встроенные функции, например, для memcpy __builtin___memcpy_chk предоставляется встроенная функция. Эта встроенная функция имеет дополнительный последний аргумент, который представляет собой количество оставшихся байтов в объекте, на который указывает аргумент dest, или (size_t) -1 если размер неизвестен.

Встроенные функции оптимизируются до обычных функций работы со строками, таких как memcpy если последний аргумент (size_t) -1 или если на этапе компиляции известно, что объект назначения не переполнится. Если компилятор может определить на этапе компиляции, что объект всегда будет переполнен, он выдает предупреждение.

Предполагаемое использование, например,

#undef memcpy
#define bos0(dest) __builtin_object_size (dest, 0)
#define memcpy(dest, src, n) \
  __builtin___memcpy_chk (dest, src, n, bos0 (dest))

char *volatile p;
char buf[10];
/* It is unknown what object p points to, so this is optimized
   into plain memcpy - no checking is possible.  */
memcpy (p, "abcde", n);
/* Destination is known and length too.  It is known at compile
   time there will be no overflow.  */
memcpy (&buf[5], "abcde", 5);
/* Destination is known, but the length is not known at compile time.
   This will result in __memcpy_chk call that can check for overflow
   at run time.  */
memcpy (&buf[5], "abcde", n);
/* Destination is known and it is known at compile time there will
   be overflow.  There will be a warning and __memcpy_chk call that
   will abort the program at run time.  */
memcpy (&buf[6], "abcde", 5);

Такие встроенные функции предоставляются для memcpy, mempcpy, memmove, memset, strcpy, stpcpy, strncpy, strcat и strncat.

Также существуют встроенные функции проверки для функций форматированного вывода.

int __builtin___sprintf_chk (char *s, int flag, size_t os, const char *fmt, ...);
int __builtin___snprintf_chk (char *s, size_t maxlen, int flag, size_t os,
                              const char *fmt, ...);
int __builtin___vsprintf_chk (char *s, int flag, size_t os, const char *fmt,
                              va_list ap);
int __builtin___vsnprintf_chk (char *s, size_t maxlen, int flag, size_t os,
                               const char *fmt, va_list ap);

Добавленный аргумент flag передается без изменений функциям __sprintf_chk и т. д. и может содержать реализующие специфические флаги о дополнительных мерах безопасности, которые может принять функция проверки, такие как обработка %n по-разному.

Аргумент os — это размер объекта, на который указывает s, как и в других встроенных функциях. Однако есть небольшое различие в поведении, если os — (size_t) -1, встроенные функции оптимизируются до неоптимизированных функций только если flag равен 0, в противном случае функция проверки вызывается с аргументом os, установленным в (size_t) -1.

Помимо этого, существуют встроенные функции проверки __builtin___printf_chk, __builtin___vprintf_chk, __builtin___fprintf_chk и __builtin___vfprintf_chk. У них есть только один дополнительный аргумент, flag, непосредственно перед строкой формата fmt. Если компилятор может оптимизировать их до функций fputc и т. д., он это делает, в противном случае вызывается функция проверки, и аргумент flag передается ей.