缓冲区溢出可通过栈保护、ASLR、NX bit、安全编译选项和良好编码实践来防范。1. 使用-fstack-protector-strong插入canary检测栈破坏；2. 启用ASLR（kernel.randomize_va_space=2）随机化内存布局；3. 利用NX bit标记不可执行内存页，阻止代码执行；4. 编译时启用-D_FORTIFY_SOURCE=2、-Wformat-security、-pie等选项增强检查；5. 避免strcpy/gets等危险函数，改用strncpy/fgets/snprintf并验证输入边界，结合静态分析工具提升安全性。综合防护可大幅提升攻击门槛。
缓冲区溢出是常见的安全漏洞，攻击者通过向程序输入超出预期长度的数据，覆盖内存中的关键区域，从而执行恶意代码。Linux系统提供了多种机制来检测和防止此类攻击。以下是一些主要的防护措施。
1. 栈保护（Stack Smashing Protector）
GCC编译器提供-fstack-protector系列选项，在函数入口处插入“canary”值，用于检测栈是否被破坏。
- -fstack-protector：对包含局部数组或使用alloca()的函数启用保护
- -fstack-protector-strong：更广泛地启用保护，覆盖更多函数
- -fstack-protector-all：对所有函数启用保护
编译时建议加入：CFLAGS += -fstack-protector-strong，增强程序抗溢出能力。
2. 地址空间布局随机化（ASLR）
ASLR随机化程序的内存布局，使攻击者难以预测目标地址。
- 查看当前设置：cat /proc/sys/kernel/randomize_va_space
- 0：关闭
- 1：部分随机化（栈、堆等）
- 2：完全随机化（推荐值）
可通过修改/etc/sysctl.conf添加kernel.randomize_va_space = 2永久生效。
3. 数据执行保护（NX bit / DEP）
现代CPU支持将内存页标记为不可执行，防止在栈或堆上运行代码。
- Linux通过PaX或NX技术实现
- ELF文件中标记GNU_STACK段决定是否允许执行栈
- 默认情况下，大多数发行版已启用该功能
可使用execstack -q 程序名检查程序栈是否可执行。
4. 编译时安全选项
合理使用编译器选项能显著提升安全性。
- -D_FORTIFY_SOURCE=2：启用对常见函数（如strcpy、memcpy）的边界检查
- -Wformat-security：检测格式化字符串漏洞
- -pie -fPIE：生成位置无关可执行文件，配合ASLR增强防护
这些选项应在开发阶段就集成到构建流程中。
5. 使用安全的编程实践
技术防护不能替代良好的编码习惯。
- 避免使用不安全函数：strcpy、gets、sprintf等
- 改用安全替代：strncpy、fgets、snprintf
- 始终验证输入长度和边界
- 启用静态分析工具（如Clang Analyzer、Coverity）检查潜在问题
基本上就这些。综合使用编译保护、系统配置和安全编码，可以有效降低缓冲区溢出风险。虽然无法完全杜绝，但能大幅提升攻击门槛。