搜索

[16895] 2021-06-11_通过数据分析看Rust能否在安全上完虐C、C++

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2021-06-11_通过数据分析看Rust能否在安全上完虐C、C++ 通 过 数 据 分 析 看 R u s t 能 否 在 安 全 上 完 虐 C 、 C + + 范 璟 玮   F r e e B u f   2 0 2 1 - 0 6 - 1 1 “ 谁 是 世 界 上 最 好 的 语 言 ？ 谁 是 世 界 上 最 好 的 语 言 ？ ” 这 是 程 序 员 聚 在 一 起 必 定 会 讨 论 的 问 题 ， 特 别 是 在 大 家 还 不 熟 ， 不 好 意 思 聊 妹 子 、 聊 游 戏 的 时 候 。 R u s t 作 为 最 近 的 后 起 之 秀 ， 在 出 生 后 的 短 短 6 年 时 间 内 就 登 上 了 “ 2 0 2 1 年 0 5 月 编 程 语 言 排 行 榜 ” 的 第 2 4 位 ， 可 以 说 成 绩 斐 然 。 作 为 C / C + + 的 有 力 替 代 者 ， R u s t 其 中 一 个 最 引 人 注 目 的 特 点 就 是 安 全 性 ， 今 天 我 们 尝 试 通 过 一 些 数 据 分 析 来 看 看 R u s t 能 否 在 安 全 上 完 虐 C / C + + 。 我 们 从 两 个 维 度 上 的 数 据 来 分 析 语 言 的 安 全 性 ： 1 、 语 言 强 相 关 的 缺 陷 类 型 的 数 量 2 、 语 言 强 相 关 的 缺 陷 类 型 的 缺 陷 数 量 前 者 衡 量 的 是 由 于 语 言 特 性 导 致 的 缺 陷 引 入 ， 后 者 衡 量 的 是 真 实 存 在 的 缺 陷 。 前 者 不 受 程 序 员 技 能 的 影 响 ， 而 后 者 会 受 教 育 、 工 具 等 因 素 的 影 响 。 以 C / C + + 中 可 以 使 用 指 针 为 例 ， 由 于 这 种 机 制 天 生 就 存 在 “ 引 用 空 指 针 导 致 系 统 复 位 ” 的 缺 陷 ， 这 会 使 前 者 的 统 计 值 上 升 ； 但 由 于 编 码 规 范 、 C o v e r i t y 等 静 态 检 查 工 具 的 应 用 ， 很 少 在 开 源 代 码 中 发 现 此 类 缺 陷 ， 这 会 体 现 在 后 者 的 统 计 值 中 。 前 者 的 数 据 从 C W E （ C o m m o n   W e a k n e s s   E n u m e r a t i o n ）   L i s t 中 获 取 ， 其 中 每 一 类 缺 陷 都 明 确 标 注 了 该 缺 陷 是 语 言 无 关 的 ， 还 是 和 某 些 语 言 相 关 的 ； 后 者 的 数 据 从 C V E （ C o m m o n   V u l n e r a b i l i t i e s   a n d   E x p o s u r e s ） 库 中 获 取 ， 可 以 大 致 看 出 每 一 类 C W E 在 软 件 开 发 中 出 现 的 比 例 。 由 于 R u s t 才 出 生 不 到 1 0 年 ， 因 此 在 C W E 中 并 没 有 收 录 R u s t 语 言 相 关 的 缺 陷 ， 因 此 我 们 将 通 过 梳 理 C / C + + 的 这 两 项 数 据 ， 然 后 再 结 合 国 外 研 究 团 队 对 R u s t 项 目 的 缺 陷 分 析 数 据 来 判 断 R u s t 是 否 比 C / C + + 更 安 全 。 言 归 正 传 ， 我 们 先 来 先 看 C W E 的 数 据 ， 截 止 到 目 前 C W E   L i s t   V 4 . 4 中 共 收 录 了 9 4 1 个 缺 陷 ， 特 定 语 言 相 关 占 比 如 下 ：
在 C W E 收 录 的 9 4 1 个 缺 陷 类 型 中 语 言 相 关 的 缺 陷 占 1 9 . 0 2 % ， 这 意 味 着 一 旦 选 择 了 某 种 开 发 语 言 ， 这 些 缺 陷 或 多 或 少 都 会 出 现 在 你 的 程 序 中 ， 当 然 你 选 择 不 同 的 语 言 ， 潜 在 的 缺 陷 类 型 数 量 是 不 一 样 的 ， 下 图 展 示 了 不 同 语 言 潜 在 的 缺 陷 类 不 同 语 言 潜 在 的 缺 陷 类 型 数 量 型 数 量 比 较 ： 可 以 看 到 C 、 C + + 、 J a v a 三 种 语 言 位 列 前 三 ， 并 且 遥 遥 领 先 。
这 里 面 固 然 有 作 为 三 大 主 流 编 程 语 言 必 然 受 到 更 多 的 关 注 ， 多 方 照 顾 的 原 因 ， 但 也 不 能 忽 视 同 样 作 为 历 史 悠 久 的 w e b 开 发 语 言 P H P 和 广 泛 应 用 的 语 言 p y t h o n ， 两 者 的 漏 洞 类 型 数 量 并 不 多 ， 特 别 是 p y t h o n 在 5 月 荣 登 编 程 语 言 排 行 的 第 二 位 。 另 外 在 这 里 要 注 意 一 下 ， 由 于 一 种 缺 陷 类 型 可 能 在 多 个 语 言 中 都 存 在 ， 因 此 如 果 你 采 用 了 C 和 C + + 混 合 编 程 ， 漏 洞 类 型 的 数 量 并 不 是 8 5 + 8 1 。 当 然 C W E 的 数 据 只 能 说 明 C / C + + 潜 在 缺 陷 类 型 较 多 ， 无 法 说 明 真 实 缺 陷 的 情 况 ， 因 此 需 要 在 分 析 一 下 C V E 中 的 漏 洞 数 据 。 当 然 C V E 中 肯 定 不 包 含 所 有 漏 洞 ， 但 至 少 可 以 看 到 大 致 的 分 布 情 况 ， 以 下 数 据 分 析 来 自 1 5 4 1 0 2 个 C V E 漏 洞 的 数 据 集 ， 然 后 对 漏 洞 成 因 进 行 分 析 ， 并 关 联 到 C / C + + 相 关 的 C W E ， 以 此 来 观 察 真 实 漏 洞 存 在 的 情 况 ， 下 图 是 C / C + + 相 关 C W E 关 联 的 漏 洞 数 量 分 布 ( 取 前 十 ) ： 上 图 中 对 应 的 C W E   I D 的 内 容 和 在 全 1 5 4 1 0 2 个 漏 洞 集 中 的 占 比 ， 如 下 表 ： 排 排 序 序 C W E I D C W E 概 述 概 述 C W E 解 释 解 释 全 漏 全 漏 洞 集 洞 集 占 比 占 比 C / C + + 特 特 有 漏 洞 集 有 漏 洞 集 占 比 占 比 1 1 1 9 I m p r o p e r   R e s t r i c t i o n   o f   O p e r a t i o n s   w i t h i n   t h e B o u n d s   o f   a   M e m o r y   B u f f e r 读 写 了 超 出 缓 冲 区 边 界 的 内 存 7 . 7 4 % 4 7 . 7 5 % 2 7 8 7 O u t - o f - b o u n d s   W r i t e 写 越 界 2 . 2 6 % 1 3 . 9 3 % 3 1 2 5 O u t - o f - b o u n d s   R e a d 读 越 界 2 . 1 1 % 1 3 . 0 4 % 4 4 1 6 U s e   A f t e r   F r e e 使 用 了 一 段 已 经 被 释 放 的 内 存 1 . 3 % 8 . 0 4 % 5 4 7 6 N U L L   P o i n t e r   D e r e f e r e n c e 指 针 使 用 前 未 判 空 ， 导 致 使 用 了 一 个 空 指 针 0 . 8 7 % 5 . 3 7 % 6 3 6 2 C o n c u r r e n t   E x e c u t i o n   u s i n g   S h a r e d   R e s o u r c e w i t h   I m p r o p e r   S y n c h r o n i z a t i o n   ( ‘ R a c e   C o n d i t i o n ’ ) 多 线 程 对 同 一 资 源 访 问 时 由 于 未 进 行 相 关 的 保 护 而 导 致 非 预 期 的 错 误 ， 比 如 读 到 脏 数 据 。 0 . 5 4 % 3 . 3 4 % 7 1 2 0 B u f f e r   C o p y   w i t h o u t   C h e c k i n g   S i z e   o f   I n p u t ( ‘ C l a s s i c   B u f f e r   O v e r f l o w ’ ) 拷 贝 时 由 于 未 校 验 而 是 目 标 内 存 小 于 原 内 存 而 导 致 溢 出 0 . 5 0 % 3 . 1 % 8 4 1 5 D o u b l e   F r e e 对 同 一 块 内 存 进 行 了 多 次 重 复 释 放 0 . 1 8 % 1 . 0 9 % 9 1 3 4 U s e   o f   E x t e r n a l l y - C o n t r o l l e d   F o r m a t   S t r i n g 程 序 允 许 外 部 输 入 格 式 字 符 串 ， 这 使 攻 击 者 可 以 通 过 操 作 输 入 格 式 字 符 串 获 得 系 统 内 存 内 的 敏 感 信 息 0 . 1 6 % 0 . 9 9 % 1 0 7 0 4 I n c o r r e c t   T y p e   C o n v e r s i o n   o r   C a s t 类 型 转 换 错 误 0 . 1 2 % 0 . 7 2 % 从 上 表 中 可 以 看 到 位 列 前 三 的 漏 洞 都 和 内 存 操 作 有 关 系 ， 前 五 加 起 来 占 到 漏 洞 集 的 1 2 . 1 1 % 。 由 于 R u s t 语 言 的 历 史 还 不 够 长 ， 因 此 在 C W E 中 并 没 有 相 关 缺 陷 类 型 ， 因 此 我 们 退 一 步 ， 通 过 一 些 研 究 团 队 的 报 告 来 识 别 缺 陷 情 况 。 结 合 C / C + + 的 缺 陷 类 型 集 中 在 内 存 操 作 部 分 ， 因 此 选 择 了 今 年 6 月 份 A C M   S I G P L A N 国 际 会 议 上 的 一 份 报 告 。 该 研 究
对 R u s t 实 现 的 数 个 系 统 和 库 进 行 了 调 查 研 究 ， 对 缺 陷 进 行 了 分 类 ， 具 体 的 结 果 如 下 ： N a m e M e m o r y   B u g s B l o c k i n g   B u g s N o n - b l o c k i n g   B u g s S e r v o 1 4 1 3 1 8 T i K V 5 0 2 p a r i t y - e t h e r e u m 2 3 4 4 R e d o x 1 4 3 T o c k 2 0 2 3 R u s t   L i b s 7 6 1 0 由 于 原 始 研 究 报 告 不 是 严 格 按 照 C W E 分 类 ， 因 此 做 了 下 二 次 分 类 并 与 上 述 C / C + + 的 缺 陷 分 类 进 行 了 对 应 ， 如 下 表 ： 看 到 这 里 可 能 有 人 会 说 R u s t 在 安 全 性 上 和 C / C + + 没 什 么 区 别 嘛 。 可 以 看 到 除 了 C W E - 9 0 8 和 C W E - 7 6 3 由 于 与 语 言 无 关 而 未 统 计 到 数 据 外 ， 在 内 存 相 关 缺 陷 中 R u s t 项 目 中 发 现 的 缺 陷 数 量 的 排 序 与 C / C + + 统 计 得 到 的 缺 陷 排 序 完 全 一 致 。 别 急 ， 我 们 不 能 忘 记 R u s t 提 供 了 一 些 安 全 特 性 以 避 免 类 似 安 全 问 题 的 发 生 。 因 此 下 面 我 们 将 引 入 这 些 缺 陷 的 代 码 所 在 分 为 两 类 ： 安 全 区 域 、 非 安 全 区 域 ， 再 看 一 下 数 据 情 况 ： 项 项 B u f f e r o v e r f l o w N u l l   p o i n t e r d e r e f e r e n c i n g R e a d   u n i n i t i a l i z e d m e m o r y I n v a l i d f r e e U s e   a f t e r f r e e D o u b l e f r e e 总 数 总 数 安 全 区 域 0 0 0 0 1 0 1 非 安 全 区 域 2 1 1 2 7 1 0 1 3 6 6 9 从 上 面 数 据 可 以 看 到 几 乎 所 有 内 存 缺 陷 都 位 于 非 安 全 区 ， 另 外 根 据 研 究 报 告 分 析 ， 唯 一 一 个 位 于 安 全 区 的 缺 陷 是 由 于 R u s t 早 期 版 本 安 全 机 制 不 健 全 导 致 的 ， 在 V 0 . 3 后 版 本 已 经 可 以 对 此 类 问 题 进 行 拦 截 了 。
因 此 可 以 得 出 结 论 ： 因 此 可 以 得 出 结 论 ： R u s t 提 供 的 安 全 机 制 可 以 有 效 避 免 内 存 安 全 问 题 ， 但 是 也 不 能 忽 视 程 序 员 仍 然 可 提 供 的 安 全 机 制 可 以 有 效 避 免 内 存 安 全 问 题 ， 但 是 也 不 能 忽 视 程 序 员 仍 然 可 能 因 为 各 种 原 因 弃 用 安 全 机 制 而 引 入 内 存 安 全 问 题 。 能 因 为 各 种 原 因 弃 用 安 全 机 制 而 引 入 内 存 安 全 问 题 。 这 些 原 因 可 能 是 性 能 要 求 、 项 目 改 造 必 须 混 用 C / C + + 、 功 能 实 现 需 要 绕 过 R u s t 检 查 机 制 等 。 同 时 研 究 报 告 中 还 对 线 程 安 全 问 题 进 行 了 相 关 的 分 类 研 究 ， 由 于 此 类 缺 陷 不 属 于 C / C + + 特 有 的 缺 陷 类 型 ， 因 此 此 处 不 做 过 多 分 析 ， 仅 给 出 结 论 ： 并 发 问 题 的 解 决 依 然 需 要 依 靠 程 序 员 的 设 计 ， R u s t 提 供 的 安 全 机 制 还 不 够 完 善 。 如 果 只 看 C / C + + 与 R u s t 的 对 比 ， 小 结 如 下 ： 1 、 C / C + + 特 有 的 C W E 缺 陷 类 型 在 公 开 的 1 5 4 1 0 2 个 C V E 漏 洞 的 数 据 集 中 占 比 为 1 6 . 2 % ， 而 在 这 个 1 6 . 2 % 的 子 集 中 ， 内 存 相 关 缺 陷 占 比 为 8 6 . 9 5 % ， 分 别 为 ： 内 存 读 、 写 越 界 ， 拷 贝 越 界 ， 重 复 释 放 ， 使 用 已 释 放 的 内 存 块 ， 如 果 能 够 在 语 言 层 面 解 决 这 些 问 题 则 能 够 消 除 大 部 分 C / C + + 特 有 缺 陷 。 2 、 通 过 分 析 R u s t 编 写 的 软 件 和 库 中 的 缺 陷 ， 按 照 C / C + + 特 有 的 C W E 进 行 分 类 ， 所 有 对 应 缺 陷 都 可 以 通 过 R u s t 的 s a f e 机 制 拦 截 ， 即 如 果 使 用 R u s t 替 代 C / C + + 实 现 并 全 部 采 用 s a f e 机 制 ， 理 论 上 可 以 消 除 现 有 9 5 % 的 缺 陷 。 总 结 总 结 1 、 从 数 据 分 析 上 看 R u s t 在 解 决 内 存 问 题 上 确 实 如 它 宣 称 的 一 样 ， 通 过 s a f e 机 制 可 以 很 好 的 防 止 内 存 相 关 缺 陷 的 发 生 ； 2 、 从 数 据 分 析 上 看 R u s t 并 没 有 如 它 所 宣 称 的 一 样 能 够 很 好 的 解 决 多 线 程 问 题 ， 甚 至 s a f e 机 制 会 引 入 更 多 的 死 锁 问 题 ； 3 、 从 数 据 上 看 C / C + + 语 言 相 关 缺 陷 中 超 过 8 0 % 的 缺 陷 与 内 存 相 关 ， 并 且 这 8 0 % 以 上 的 缺 陷 在 R u s t 中 已 经 完 全 可 以 用 s a f e 机 制 防 护 ； 综 上 ， 至 少 在 内 存 安 全 方 面 综 上 ， 至 少 在 内 存 安 全 方 面 R u s t 确 实 可 以 完 虐 确 实 可 以 完 虐 C / C + + 。 。 对 于 一 个 企 业 是 否 要 从 C / C + + 迁 移 到 R u s t ， 仍 然 需 要 从 几 个 维 度 进 行 考 虑 ： 1 、 R u s t 的 生 态 是 否 能 够 支 撑 企 业 所 在 的 领 域 ； 2 、 R u s t 程 序 员 的 培 养 能 否 支 撑 企 业 的 开 发 规 模 ； 3 、 R u s t 的 静 态 检 查 工 具 能 否 高 效 发 现 其 他 类 型 的 缺 陷 ； 4 、 企 业 开 发 的 产 品 是 否 适 合 全 部 采 用 R u s t 的 s a f e 机 制 ； 5 、 企 业 开 发 专 家 能 否 放 弃 自 身 优 势 ， 拥 抱 变 化 。 即 使 以 上 维 度 考 虑 后 都 合 适 ， 大 规 模 的 产 品 仍 然 需 要 考 虑 替 换 策 略 ， 以 保 证 产 品 在 交 付 质 量 和 效 率 大 致 不 变 的 情 况 下 顺 利 完 成 技 术 栈 的 演 进 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理