https://www.opennet.ru/openforum/vsluhforumID3/103368.html В компилятор Clang добавлен (https://github.com/llvm-mirror/llvm/commit/7ffec838a2b72e6841d9fb993b5fe6a45f3b2a90) код подсистемы SafeStack (http://dslab.epfl.ch/proj/cpi/), предназначенной для защиты от типовых ошибок, вызванных повреждением памяти в результате работы со стеком и являющихся причиной большого числа эксплуатируемых уязвимостей (например, в 2014 году в Firefox было выявлено 55 подобных уязвимостей).<br><br><br>SafeStack позволяет предотвратить получение контроля над помещёнными в стек указателями в программах на C/C++ через сохранение указателей (адреса возврата, указатели на функции и т.п.) в отдельной изолированной области памяти, доступ к которой производится только с использованием специальных проверок корректности обращения к памяти. Накладные расходы от дополнительных проверок несущественны и составляют 0.01-0.05%.<br><br><br>URL: http://blog.llvm.org/2015/06/llvm-weekly-77-jun-22nd-2015.html<br>Новость: http://www.opennet.ru/opennews/art.shtml?num=42517<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#74 Tue, 30 Jun 2015 14:31:15 GMT &gt;&gt; И так через дюжину жирных фреймворков и виртуализаций <br>&gt; Энтерпрайзники благодарят вас за отличную идею!<br><br>Загляните в код Firefox сначала.<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#73 Mon, 29 Jun 2015 11:16:16 GMT The SafeStack pass to protect against stack-based memory corruption errors has been added. r239761.<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#72 Mon, 29 Jun 2015 11:13:37 GMT clang 3.7 еще не вышел<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#71 Mon, 29 Jun 2015 11:04:37 GMT А заодно Гарвардскую архитектуру использовать ;-)<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#70 Mon, 29 Jun 2015 10:48:58 GMT Кстати, а можно FreeBSD и ее порты собрать с -fsafe-stack? :)<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#69 Mon, 29 Jun 2015 08:49:48 GMT &gt;&gt; позиционно независимых бинарей <br>&gt; Так собирай с -pie - и будут позиционно независимые.<br>&gt;&gt; и ALSR в ядре Линукс?<br>&gt; Так там давно уже сделано.<br>&gt;&gt; Кто собирает проги gcc с флагами -f-stack-protector, -f-stack-protector-all и -pie ?<br>&gt; Ну, я. И дебианщики/убунтуи, например. У них даже скриптик hardening-check есть. Покажет <br>&gt; насколько все хорошо или плохо с вполне конкретным бинарником.<br><br>Да, и paxtest тоже дебиановцы написали. Но замечу два момента:<br><br>1. Не все проги в дистрах собираются с этими опциями, даже в Дебе.<br><br>2. Сборка PIE бинаря сама по себе ничего не даёт! Необходимо ядро С PAX ALSR патчами которое смижет рандомно выделить этим pie бинарям пямять.<br><br>&gt; Вы кстати еще -z now забыли. Immediate binding - зарубает ряд потенциально <br>&gt; проблемных действий с подпихиванием левых библиотечных функций.<br><br>Там надо ещё много необходимых опций кроме pie & ssp<br><br>&gt;&gt; Почему более 5 лет в seL4 доказали что рандомизация более быстра и <br>&gt;&gt; не менее надёжна чем куча проверок!<br>&gt; А хаксоры, тем не менее, так https://www.opennet.ru/openforum/vsluhforumID3/103368.html#68 Mon, 29 Jun 2015 08:28:20 GMT Никакого вендорлочества пока не заметил. Многие производители процов разных архитектур добавляют фичи для ускорения и аппаратной реализации разных аспектов безопасности.<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#67 Mon, 29 Jun 2015 07:59:37 GMT Кто-нибудь может объяснить, почему просто не сделать два стека - один для данных, другой - для адресов возврата? Все же уже было в 68xx...<br> https://www.opennet.ru/openforum/vsluhforumID3/103368.html#66 Mon, 29 Jun 2015 07:46:00 GMT Ну глянул бы в исходники и не порол ***ты<br>