安全编程：初始化那些你忽略掉的东西

对于黑客来说，特权提升漏洞是令他感到非常兴奋的事情，而有时候这种漏洞的来源仅仅是因为开发者忘记将内存缓冲区中的垃圾数据进行初始化。此话怎讲？

创新互联专注为客户提供全方位的互联网综合服务，包含不限于成都网站设计、成都网站制作、富锦网络推广、微信小程序开发、富锦网络营销、富锦企业策划、富锦品牌公关、搜索引擎seo、人物专访、企业宣传片、企业代运营等，从售前售中售后，我们都将竭诚为您服务，您的肯定，是我们最大的嘉奖；创新互联为所有大学生创业者提供富锦建站搭建服务，24小时服务热线：13518219792，官方网址：www.cdcxhl.com

我想，现在每个人都应该熟悉 SecureZeroMemory 函数的使用，它用来擦除包含敏感信息的缓冲区，但是在将缓冲区的内容写入另一个位置之前，你还必须将其清零。例如，请考虑以下二进制格式：

下面是一段想文件中写入数据的例子：

在上面的代码中，你有没有看到隐藏在其中的安全问题？

如果输入的注释内容的长度短于 255 个字符，则在空终止字符之后的字节由未初始化的堆栈垃圾组成。这段堆栈垃圾数据中，可能包含你不打算泄漏到文件中的有趣信息。

当然，它不会包含你已经识别为高度敏感的信息，例如密码，但它仍然可能包含虽然不太敏感，但对于寻找它的人来说仍然有价值的信息。

例如，根据编译器决定放置局部变量的位置，你可能会将帐户名泄漏到这些未使用的字节中。

有人告诉我，一家公司很久以前的网络软件也有一个类似的Bug。

他们使用了一种非常先进的”更改密码”的算法，其细节并不重要。设计是只在网络上传输高度加密的数据。这样，在网络上并捕获数据包的黑客就不会看到任何有价值的东西。

但是他们的客户端中有一个错误：当它向服务器发送加密密码时，它忘记了清空”更改密码”数据包中未使用的字节。在那些未使用的字节中，你猜对了，是纯文本密码的副本。

总结

道高一尺魔高一丈，我们必须小心行事。
写代码的同时，也将自己带入到黑客角色问自己：”这段代码会不会有安全漏洞？”

分享文章：安全编程：初始化那些你忽略掉的东西
网站URL：http://www.shufengxianlan.com/qtweb/news18/53918.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联