Integer Overflow

如果沒有對 Integer Overflow 進行說明的話，可能會導致邏輯錯誤或 Buffer overflow。

Integer Overflow 錯誤通常發生在程式未能明確說明這一事實的情況下：一個算術運算可能導致一個數值大於資料類型的最大值或者小於資料類型的最小值。當使用者輸入的資料需要在有符號數與無符號數之間隱含的進行轉換時，就可能會產生一些錯誤，而這些錯誤經常會導致記憶體分配函數產生問題。如果攻擊者能夠使程式分配記憶體不足或是在進行記憶體操作時，將一個有符號數作為無符號數來處理，這些都將使程式容易出現緩衝區溢位的情況。

範例 1：以下程式碼摘自 OpenSSH 3.3，顯示典型的 Integer Overflow 案例：

nresp = packet_get_int();
if (nresp > 0) {
 response = xmalloc(nresp*sizeof(char*));
 for (i = 0; i < nresp; i++)
  response[i] = packet_get_string(NULL);
}

若 nresp 的值為 1073741824，且 sizeof(char*) 的典型值為 4，則 nresp*sizeof(char*) 運算的結果將發生溢位，xmalloc() 的引數將是 0。多數 malloc() 實作會允許配置 0 個位元組的緩衝區，導致隨後的迭代循環發生堆積緩衝區 response 溢位。

範例 2：此範例處理的是由一系列長度可變的結構構成的使用者輸入。輸入的前 2 個位元組指示要處理的結構的大小。

 char* processNext(char* strm) {
 char buf[512];
 short len = *(short*) strm;
 strm += sizeof(len);
 if (len <= 512) {
  memcpy(buf, strm, len);
  process(buf);
  return strm + len;
 } else {
  return -1;
 }
}

程式設計人員已設定結構大小的上限：若其大於 512，則不會處理輸入。問題在於，len 是有符號的整數，因此針對結構長度上限的檢查會使用有符號的整數來執行，但是 len 將轉換為無符號的整數以呼叫 memcpy()。若 len 是負數，似乎結構大小適當 (將使用 if 分支語句)，但是 memcpy() 所複製的記憶體量會很大，攻擊者可以針對 strm 中的資料產生堆疊溢位。