Unsafe Native Invoke

不適當的使用 Platform Invocation Services 可能導致受管的應用程式很容易受到其他語言安全性漏洞的攻擊。

當一個受管應用程式使用 P/Invoke 呼叫其他程式語言所編寫的原生(未受管)程式碼時，會出現 Unsafe Native Invoke 錯誤。

範例 1：以下 C# 程式碼會定義一個名為 Echo 的類別。此類別使用一種原生方法，使用 C 將在主控台輸入的指令回傳給使用者。

class Echo
{
  [DllImport("mylib.dll")]
  internal static extern void RunEcho();

  static void main(String[] args)
  {
    RunEcho();
  }
}

以下 C 程式碼會定義在 Echo 類別中執行的原生方法：

#include <stdio.h>

void __stdcall RunEcho()
{
  char* buf = (char*) malloc(64 * sizeof(char));
  gets(buf);
  printf(buf);
}

因為 Echo 是在受管程式碼中執行的，所以看起來會像是對 Buffer overflow 弱點之類的記憶體問題完全免疫。雖然受管環境在維護記憶體作業安全上效果良好，但此防護並未延伸到使用 P/Invoke 存取的原生程式碼中所發生的弱點。儘管受管執行階段環境提供了記憶體保護機制，此範例中的原生程式碼仍然容易產生 Buffer overflow，因為它在沒有對輸入執行任何範圍檢查的情況下就使用了 gets()。此外，buf 雖被分配但並未空出，因此是記憶體洩露。

藉由稽核原生方法實作的來源程式碼，可以輕易地偵測到 Example 1 中存在的弱點。根據是否可使用來源程式碼以及專案建立的方式而定，這個方法不一定可行，但在許多情況下，它是可行的。然而，這種可以在受管與原生環境間共用物件的機制，會把潛在的風險擴大為更嚴重的風險。在受管程式碼中不當處理資料可能會導致在原生程式碼中產生無法預期的弱點，或導致在原生程式碼中的不安全操作，造成受管程式碼中的資料結構毀損。

透過受管應用程式存取原生程式碼出現的弱點，通常與使用原生程式碼編寫的應用程式中出現的弱點是一樣的。這種攻擊面臨的唯一挑戰是：攻擊者必須辨別受管應用程式是否使用原生程式碼來執行特定操作。有許多方法可以達到以上目的，其中包括辨別通常使用原生程式碼來執行的特定行為，或者利用表明使用 P/Invoke 之受管應用程式中的 System Information Leak。