GCC中的堆栈保护机制
以堆栈溢出为代表的缓冲区溢出已成为最为普遍的安全漏洞，由此引发的安全问题比比皆是。我们知道攻击者利用堆栈溢出漏洞时，通常会破坏当前的函数栈。在gcc中，通过编译选项可以添加 函数栈的保护机制，通过重新对局部变量进行布局来实现，达到监测函数栈是否非破坏的目的。
gcc中有3个与堆栈保护相关的编译选项
-fstack-protector：启用堆栈保护，不过只为局部变量中含有 char 数组的函数插入保护代码。
-fstack-protector-all：启用堆栈保护，为所有函数插入保护代码。
-fno-stack-protector：禁用堆栈保护。
1.1 编译选项为 gcc -fstack-protector-all main.c
#include
int main(void)
{
int i; /* 此时i的声明在数组a之前 */
int a[4];
//int i;
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0;
for(i=0;i<=3;i++) /* 当把3改为4的话，程序运行就会出错，因为开启了堆栈保护，在a[4]的地方编译器放置了一个保护变量，当该变量被修改时，程序
* 认为该函数栈被破坏，于是抛出错误 */
a[i]=0;
printf("hello\n");
return 0;
} &a=0xbf9b7ebc,&i=0xbf9b7eb8
1425164544
hello1.2 编译选项为 gcc -fstack-protector-all main.c
#include
int main(void)
{
//int i;
int a[4];
int i; /* 此时i的声明在数组a之后 */
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0;
for(i=0;i<=3;i++)/* 当把3改为4的话，程序运行就会出错，因为开启了堆栈保护，在a[4]的地方编译器放置了一个保护变量，当该变量被修改时，程序
* 认为该函数栈被破坏，于是抛出错误 */
a[i]=0;
printf("hello\n");
return 0;
} &a=0xbfe0cd3c,&i=0xbfe0cd38
1166871552
hello1.3 结论
在gcc -fstack-protector-all的编译选项下，编译器会对局部变量的组织方式进行重新布局，在本例中，无论i和a变量的声明前后顺序怎么样，它们的布局都是如上图中右边的布局方式，a数组始终在高地址，变量i始终在低地址。并且在a[4]的地址位置，编译器会放置一个保护变量，当该变量被修改时会抛出错误。
2.1 编译选项为 gcc -fno-stack-protector main.c
#include
int main(void)
{
int i; /* 此时i的声明在数组a之前 */
int a[4];
//int i;
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0;
for(i=0;i<=4;i++)
a[i]=0;
printf("hello\n");
return 0;
} 
2.2 编译选项为 gcc -fno-stack-protector main.c
#include
int main(void)
{
//int i;
int a[4];
int i; /* 此时i的声明在数组a之后 */
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0;
for(i=0;i<=4;i++)
a[i]=0;
printf("hello\n");
return 0;
} &a=0xbfda2350,&i=0xbfda234c
134513824
hello2.3 结论
在gcc -fno-stack-protector的编译选项下，编译器不会对局部变量的组织方式进行重新布局，在本例中，当i的声明在a之前时，内存布局如上图中的左边的那个一样；当i的声明在a之后时，内存布局如上图中的右边的那个一样。
3.1 编译选项为 gcc main.c (默认情况下)
#include
int main(void)
{
int i; /* 此时i的声明在数组a之前 */
int a[4];
//int i;
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0; /* 当把这行代码取消注释后，运行程序会出现段错误，把改行以上的3行取消注释没有问题 */
for(i=0;i<=4;i++)
a[i]=0;
printf("hello\n");
return 0;
} 
3.2 编译选项为 gcc main.c (默认情况下)
#include
int main(void)
{
//int i;
int a[4];
int i;
printf("&a=%p,&i=%p\n",&a,&i);
//a[4] = 0;
printf("%d\n", a[4]);
//a[5] = 0;
//a[6] = 0;
//a[7] = 0;
//a[8] = 0;
for(i=0;i<=4;i++)
a[i]=0;
printf("hello\n");
return 0;
} 
3.3 结论
默认情况下，编译器会对局部变量的组织方式进行重新布局，在本例中，无论i和a变量的声明前后顺序怎么样，它们的布局都是如上图中左边的布局方式，变量i始终在低地址，a数组始终在高地址。
参考资料：
1、GCC 中的编译器堆栈保护技术
2、C程序的存储空间