本书是关于C和C++**编码的著作。本书介绍了C和C++程序中已经导致危险的、破坏性的基本编程错误,包括在字符串、指针、动态内存管理、整数、格式化输出、文件I/O等中的漏洞或缺陷。本书还提供了对这些编程错误的深入剖析,并给出缓解策略,以减少或消除恶意利用漏洞的风险。
本书适合C/C++程序员、软件**工程师参考。
洞悉软件漏洞的成因,熟知规避之道
通常而言,可利用的软件漏洞都由本可避免的软件缺陷所导致。在分析了过去10年中近18000份漏洞报告后,CERT/CC发现少量的根本原因导致了这些漏洞的产生。本书识别并解释了这些原因,而且展示了预防利用漏洞的步骤。此外,本书还鼓励程序员采用*佳**实践,并培养**的开发理念,这不但有助于保护软件免遭当前的攻击,更可使它们免遭将来可能发生的攻击。
基于CERT/CC的报告和总结,Robert Seacord系统地揭示了*可能导致**缺陷的编程错误,展示了这些缺陷的利用方式,介绍了可能导致的后果,并提供了**的替代做法。
本书特别讨论了如下技术细节:
改善任何C/C++应用程序的整体**性。
抵御利用不**的字符串操作逻辑的缓冲区溢出

译者序
序言
前言
作译者简介
第1章 夹缝求生
1.1 衡量危险
1.1.1 损失的现状
1.1.2 威胁的来源
1.1.3 软件**
1.2 **概念
1.2.1 **策略
1.2.2 **缺陷
1.2.3 漏洞
1.2.4 利用
1.2.5 缓解措施
1.3 C和C++
1.3.1 C和C++简史
1.3.2 C存在的问题
1.3.3 **代码
1.3.4 其他语言
1.4 开发平台
1.4.1 操作系统
1.4.2 编译器
1.5 本章小结
1.6 阅读材料
第2章 字符串
2.1 字符串特征
2.2 常见的字符串操作错误
2.2.1 无界字符串复制
2.2.2 差一错误
2.2.3 空结尾错误
2.2.4 字符串截断
2.2.5 与函数无关的字符串错误
2.3 字符串漏洞
2.3.1 **缺陷
2.3.2 缓冲区溢出
2.4 进程内存组织
2.5 栈粉碎
2.6 代码注入
2.7 弧注入
2.8 缓解策略
2.8.1 预防
2.8.2 字符串流
2.8.3 检测和恢复
2.9 **的漏洞
2.9.1 远程登录
2.9.2 Kerberos
2.9.3 Metamail
2.10 本章小结
2.11 阅读材料
第3章 指针诡计
3.1 数据位置
3.2 函数指针
3.3 数据指针
3.4 修改指令指针
3.5 全局偏移表
3.6 dtors区
3.7 虚指针
3.8 atexit()和on exit()函数
3.9 longjmp()函数
3.10 异常处理
3.10.1 结构化异常处理
3.10.2 系统默认异常处理
3.11 缓解策略
……
第4章 动态内存管理
第5章 整数**
第6章 格式化输出
第7章 文件I/O
第8章 **的实践
参考文献
缩略语

“信息系统的**性并未随受攻击的数目和程度的增长同步得到改善。为了改变这一现状,必须改进用于创建系统的策略和技术。具体来说,必须从一开始就将**性构建于系统之内而不是将其作为补救措施附加进来,这正是本书的要旨。这本书向软件***详尽展示了如何构建高质量的系统,它们具有更少的漏洞,不易遭受代价高昂或后果严重的攻击。任何***在进行重大的项目开发之前都应该阅读本书。”

——Frank Abagnale,作家、讲师、欺诈预防和**文献领域**顾问