Integer Overflow

没有对 Integer overflow 进行说明可能会导致逻辑错误或 buffer overflow。

当程序无法说明算术运算可能导致数量大于数据类型的最大值或小于其最小值的事实时，就会发生整数溢出错误。这些错误通常会导致内存分配函数出现问题，其中用户输入与有符号值和无符号值之间的隐式转换交叠。如果攻击者引发程序分配内存不足或在内存操作中将有符号值解释为无符号值，则程序可能容易受到缓冲区溢出的影响。

例 1：以下代码摘自 OpenSSH 3.3，演示了一个经典的 integer overflow 案例：

nresp = packet_get_int();
if (nresp > 0) {
 response = xmalloc(nresp*sizeof(char*));
 for (i = 0; i < nresp; i++)
  response[i] = packet_get_string(NULL);
}

如果 nresp 拥有值 1073741824，sizeof(char*) 拥有典型值 4，那么 nresp*sizeof(char*) 的操作结果将溢出，xmalloc() 参数将变为 0。大多数 malloc() 实施将允许分配 0 字节缓冲区，导致随后的循环迭代次数超出堆缓冲区 response。

例 2： 该示例处理的用户输入包含一系列可变长度结构。输入的前 2 个字节决定了要处理的结构大小。

 char* processNext(char* strm) {
 char buf[512];
 short len = *(short*) strm;
 strm += sizeof(len);
 if (len <= 512) {
  memcpy(buf, strm, len);
  process(buf);
  return strm + len;
 } else {
  return -1;
 }
}

程序员已为结构大小设置了一个上限：如果它大于 512，输入将不会被处理。问题是 len 为一个带符号的整数，因此针对最大结构长度的检查是用带符号的整数完成的，但是针对 memcpy() 调用，len 会转化为一个不带符号的整数。如果 len 为负，那么结构将看起来有一个适当的尺寸（将执行 if 分支），但是通过 memcpy() 复制的内存数量将相当大，攻击者将能够使用 strm 中的数据溢出堆栈。