1、安全编码总论：嵌入式安全威胁概述、安全编码的重要性、常见漏洞类型

各位同学，咱们今天聊聊嵌入式安全编码的“总纲”。说实话，我做了十几年嵌入式开发，踩过的坑比走过的路还多。早期大家总觉得嵌入式设备嘛，跑在封闭环境里，谁会来攻击？结果呢？从智能灯泡被黑变成僵尸网络，到汽车ECU被远程控制，这些血淋淋的案例告诉我们——没有绝对安全的系统，只有不够努力的黑客。

1.1 嵌入式安全威胁概述

嵌入式系统的威胁，说白了就是“攻击者想方设法让你的设备不按设计意图工作”。我归纳了一下，主要来自这几个方向：

• 物理攻击：直接拆芯片、探针测总线、激光打故障。嗯，这属于硬核玩法，但确实存在。
• 侧信道攻击：通过功耗、电磁辐射、运行时间推断密钥。我在一个加密模块项目中就遇到过，功耗曲线一分析，密钥直接暴露了。
• 软件攻击：利用代码漏洞，比如缓冲区溢出、整数溢出。这是咱们今天重点聊的。
• 网络攻击：通过Wi-Fi、蓝牙、CAN总线等接口渗透。你想想看，一个联网的温控器，可能就是攻击者进入你内网的跳板。

1.2 安全编码的重要性

为什么我特别强调安全编码？因为代码是攻击者最容易下手的地方。硬件加固成本高，但软件漏洞——一个memcpy用错，整台设备就沦陷了。

我个人习惯把安全编码看作“防御的最后一公里”。你想想看，RTOS调度写得再好，外设驱动再稳定，如果有个缓冲区溢出漏洞，攻击者就能直接改写PC指针，跳转到任意地址执行代码。我曾经在一个IoT项目中，就因为一个sprintf格式化字符串没处理好，导致设备被远程控制。那次教训太深刻了。

安全编码的好处，我总结了几点：

• 降低攻击面：减少可利用的漏洞入口
• 提升可靠性：很多安全漏洞同时也是稳定性bug
• 节省成本：事后打补丁比事前写好代码贵10倍不止
• 合规要求：MISRA-C、IEC 62304等标准都强制要求

1.3 常见漏洞类型

嵌入式C语言里，最常见的漏洞就那么几类。我按危害程度排个序，咱们一个个说。

1.3.1 缓冲区溢出

这绝对是“漏洞之王”。攻击者往缓冲区写入超过容量的数据，覆盖相邻内存区域。轻则程序崩溃，重则执行任意代码。

为什么会这样？因为C语言不检查边界。你写个strcpy，它只管复制，直到遇到'\0'。如果源字符串比目标缓冲区长，那就溢出了。

// 危险示例
char buf[16];
strcpy(buf, user_input);  // 如果user_input超过15字节，就溢出

// 安全写法
char buf[16];
strncpy(buf, user_input, sizeof(buf) - 1);
buf[sizeof(buf) - 1] = '\0';

我在项目中遇到过最离谱的一次，是某个同事用sprintf拼接日志，结果日志内容来自网络包，直接导致堆栈被破坏。从那以后，我规定所有字符串操作必须用带长度限制的函数。

1.3.2 整数溢出

整数溢出看起来不起眼，但危害极大。当整数运算结果超出类型能表示的范围时，就会发生环绕或截断。

你想想看，一个uint8_t变量，最大值255。如果加1，就变成0。这在计算缓冲区大小时特别危险——本来要分配256字节，结果算出来是0，malloc(0)返回一个极小堆块，后续写入直接堆溢出。

// 危险示例
uint8_t size = 255;
size += 1;  // 变成0

// 安全写法
if (size > UINT8_MAX - 1) {
    // 处理溢出错误
} else {
    size += 1;
}

我记得有一次做网络协议栈，计算报文长度时用了int16_t，结果两个正数相加变成负数，导致memcpy的第三个参数传了个负数——嗯，memcpy的size_t是无符号的，负数被解释成超大正数，直接崩了。

1.3.3 格式化字符串漏洞

这个漏洞在嵌入式里相对少见，但一旦出现就是灾难。当格式化函数的参数由用户控制时，攻击者可以用%s、%x等格式符读取栈内存，甚至用%n写入任意地址。

// 危险示例
printf(user_input);  // 如果user_input包含"%x %x %x"，就会泄露栈数据

// 安全写法
printf("%s", user_input);

我曾经在调试一个串口命令解析器时，发现同事直接用printf打印用户输入。我当时就惊了——这要是有人发个"%n"，程序直接写内存。赶紧改成了puts或者带格式字符串的printf。

1.3.4 其他常见漏洞

漏洞类型	简要说明	典型场景
空指针解引用	对NULL指针进行读写操作	malloc失败后未检查返回值
释放后使用	访问已释放的内存	多线程中共享指针未同步
双重释放	对同一块内存释放两次	错误处理路径中重复free
越界访问	数组索引超出有效范围	循环边界条件写错

1.4 总结与建议

好了，咱们把总论部分过了一遍。核心就三句话：

1. 嵌入式安全威胁真实存在，别以为你的设备没人看得上
2. 安全编码是性价比最高的防御手段，比加硬件锁便宜多了
3. 缓冲区溢出、整数溢出、格式化字符串是三大“杀手”，必须熟练掌握防御方法

我个人习惯在项目启动时就制定安全编码规范，而不是等代码写完了再审计。你想想看，后期改一个溢出漏洞，可能要重构整个模块，那成本就高了去了。

下一章咱们深入讲缓冲区溢出的原理和防御，我会带几个实际案例来分析。嗯，今天就到这里，大家回去把代码里的strcpy都检查一遍，看看有没有漏网之鱼。

公众号:蓝海资料掘金营，微信deep3321