悬空指向多态类的指针会导致未定义的行为.它真的可以成为任何可以想象的腐败的根源吗?

Dangling pointer to polymorphic class leads to Undefined Behaviour. Is it true that it can be the source of any corruption imaginable?

本文关键字：任何可 真的 指针 多态 未定义      更新时间：2023-10-16

我知道，一旦发生，未定义的行为就不可能再考虑代码了。我完全相信。我甚至认为我不应该过多地理解UB：一个理智的C++程序不应该玩UB，Period。

但是，为了让我的同事和经理相信它的真正危险，我试图找到一个具体的例子，其中包含我们在产品中确实存在的错误（他们认为它并不危险，最坏的情况是它总是会因访问违规而崩溃）。

我主要关心的是关于在指向多态类的悬空指针上调用虚拟成员函数。

删除指针时，Windows 操作系统将在堆块的标头中写入几个字节，并且通常还会覆盖堆块本身的第一个字节。这是它跟踪堆块的方式，将它们作为链表进行管理......操作系统的东西。

虽然它没有在C++标准中定义，但多态性是使用虚拟表 AFAIK 实现的。在 windows 下，指向虚拟表的指针位于堆块的第一个字节中，给定一个只继承一个基类的类。 （使用多重继承可能会更复杂，但我不会考虑这一点。让我们只考虑基类 A，以及继承 A 的几个 B、C、D ）。

现在让我们考虑我有一个指向 A 的指针，该指针被实例化为 D 对象。并且该 D 对象已在代码中的其他地方被删除：因此堆块现在是一个空闲堆块，并且它的第一个字节已被覆盖，因此虚拟表指针几乎随机指向内存中的某个位置，假设地址0x01234567。

在代码中的某个地方，我们调用：

void test(A * pA)   
{
    # here we do not know that pA is dangling pointer
    # that memory address has been deleted by another thread, in another part of the code
    pA->SomeVirtualFunction();
}

我说得对吗：

  • 运行时会将地址 0x01234567 处的内存解释为虚拟表
  • 如果在像 vtable 一样错误地解释此内存地址时，它没有进入禁止的内存区域，则不会有任何访问冲突
  • 被误解的虚拟表将为虚拟函数执行提供一个随机地址，假设0x09876543
  • 随机地址0x09876543处的内存将被解释为有效的二进制代码，并实际执行
  • 这可能导致任何可以想象的腐败

我不想夸大其词，以说服人。那么，我所说的是正确的、可能的和可能的吗？

你的例子是可能的。

然而，情况要糟糕得多。

如果有人攻击应用程序的用户，则内存将不包含随机数据。攻击者将尝试并可能设法影响该数据的内容。一旦发生这种情况，攻击者可能能够确定将执行哪些代码。一旦发生这种情况，除非你的应用程序被正确沙盒化（我敢打赌，你的共同开发人员没有这种态度），否则攻击者可能能够接管用户的计算机。

这不是一个假设的可能性，而是已经发生并将再次发生的事情。

相关文章：