Bài 36.426 phút đọc

Bản debug và bản phát hành

Sau bài này bạn sẽ làm được

Viết dòng lệnh cho bản debug đầy đủ sanitizer
Viết dòng lệnh cho bản phát hành gia cố
Giải thích vì sao không trộn hai hồ sơ
Dùng strip và biết nó bỏ đi gì

Một dự án nghiêm túc có ít nhất hai cách dựng: một bản chậm bắt mọi lỗi để phát triển, và một bản nhanh gia cố bảo mật để phát hành. Bài này viết cả hai dòng lệnh và giải thích vì sao chúng phải tách bạch.

#Hai hồ sơ build

	Debug	Release
Mức tối ưu	-O0 hoặc -Og	-O2
Thông tin gỡ lỗi	-g3 đầy đủ	-g rồi tách ra
Sanitizer	Có, ASan và UBSan	Không
Kiểm tra assert	Bật	Thường tắt bằng -DNDEBUG
Gia cố bảo mật	Không cần	Đầy đủ
LTO	Không	Có, nếu đo được lợi ích
Tốc độ dịch	Nhanh	Chậm hơn
Tốc độ chạy	Chậm 2 tới 30 lần	Nhanh nhất

#Bản debug

Bản debug, chậm nhưng bắt mọi lỗi

gcc -std=c17 \
    -Wall -Wextra -Wpedantic -Wshadow -Wconversion \
    -g3 -O0 \
    -fsanitize=address,undefined -fno-omit-frame-pointer \
    -DDEBUG \
    src/*.c -o build/app_debug

#Bản phát hành

Bản phát hành, nhanh và gia cố

gcc -std=c17 \
    -Wall -Wextra -Werror \
    -O2 -DNDEBUG -flto \
    -D_FORTIFY_SOURCE=2 -fstack-protector-strong \
    -fPIE -pie \
    -Wl,-z,relro,-z,now -Wl,-z,noexecstack \
    src/*.c -o build/app
strip build/app

Cờ	Làm gì	Bài
-O2	Tối ưu đầy đủ	36.2
-DNDEBUG	Tắt assert	56.5
-flto	Tối ưu xuyên tệp	36.2
-D_FORTIFY_SOURCE=2	Thay hàm chuỗi bằng bản kiểm tra kích thước	59.1
-fstack-protector-strong	Canh gác ngăn xếp chống tràn	59.1
-fPIE -pie	Bật ASLR cho mã thực thi	59.1
-Wl,-z,relro,-z,now	Bảng GOT chỉ đọc sau khi nạp	59.1
-Wl,-z,noexecstack	Ngăn xếp không chạy được (NX)	59.1

-Werror ở bản phát hành, không ở bản debug

/* Ban PHAT HANH bat -Werror: mot canh bao la loi, CI do.
   Ban DEBUG khong bat: khi ban dang go loi va them mot bien tam,
   ban khong muon -Wunused-variable chan viec dich.

   Nhung nho: -Werror trong Makefile mac dinh lam nguoi tai ma
   nguon ve khong dich duoc neu trinh bien dich cua ho co canh
   bao moi. Nen -Werror nen bat qua CI hoac qua mot bien tuy chon,
   khong phai cung trong moi ban phat hanh nguoi dung tu dich.
   Xem Bai 58.1. */

_FORTIFY_SOURCE cần -O1 trở lên

gcc -D_FORTIFY_SOURCE=2 app.c            # KHONG co tac dung
gcc -O2 -D_FORTIFY_SOURCE=2 app.c        # co tac dung

/* _FORTIFY_SOURCE thay memcpy, strcpy, sprintf va vai ham nua
   bang ban co kiem tra kich thuoc, NHUNG chi khi trinh bien dich
   biet duoc kich thuoc bo dem luc dich. Viec do can phan tich
   luong du lieu, chi bat o -O1 tro len.

   Nen neu ban dat _FORTIFY_SOURCE ma quen -O, no im lang khong
   lam gi. Do la mot cai bay bao mat quen thuoc: ban tuong minh
   duoc bao ve ma khong. */

#Vì sao không trộn

Trộn hai hồ sơ

# "Bat het cho chac" gcc -O2 -g3 -fsanitize=address -DNDEBUG \ -fstack-protector-strong app.c -o app # Bon van de: # 1. -O2 voi sanitizer: kho go loi, va -O2 co the che mot so # loi ma sanitizer se bat o -O1. # 2. -DNDEBUG tat assert, nhung ban DANG go loi, luc can assert # nhat. # 3. Ban chay cham vi sanitizer NHUNG cung dinh do hieu nang? # So do vo nghia. # 4. Mot binary vua go loi vua phat hanh khong phuc vu tot # muc dich nao.

Tách bạch

# Hai muc tieu rieng trong Makefile debug: CFLAGS += -O0 -g3 -fsanitize=address,undefined -DDEBUG release: CFLAGS += -O2 -DNDEBUG -flto -D_FORTIFY_SOURCE=2 \ -fstack-protector-strong # make debug -> ban de go loi # make release -> ban de phat hanh # Moi ban lam DUNG mot viec, va lam tot.

Một cái bẫy thật: assert với NDEBUG

/* Neu ban do hieu nang tren ban -DDEBUG (con assert),
   assert co the ton thoi gian dang ke, va ban toi uu nham cho.

   Neu ban go loi tren ban -DNDEBUG (khong assert),
   cac kiem tra bat gia dinh sai da bien mat, va ban bo lo
   chinh cai loi ban dang tim.

   Va nguy hiem nhat: tac dung phu trong assert. */
assert(khoi_tao() == 0);        /* voi NDEBUG, khoi_tao() KHONG chay */

/* Tren ban debug no chay, tren ban phat hanh no bien mat,
   va chuong trinh hong chi o ban phat hanh. Do la ly do
   assert khong duoc co tac dung phu, va do cung la ly do
   phai kiem thu CA ban phat hanh. Xem Bai 56.5. */

#strip

terminal

# Binary phat hanh voi -O2 -g, truoc khi strip

gcc -std=c11 -O2 -g std.c -o std_full.exe && stat -c%s std_full.exe

strip std_full.exe && stat -c%s std_full.exe

strip bỏ gì, và khi nào không nên

strip xoá bảng ký hiệu và thông tin gỡ lỗi khỏi tệp thực thi. Ở đây 55840 byte xuống 15360 byte, gọn gần bốn lần. Chương trình chạy y hệt; chỉ là khi nó sập, vết ngăn xếp chỉ còn địa chỉ chứ không còn tên hàm.

/* Nen strip:
     - binary phat hanh cho nguoi dung cuoi
     - de giam kich thuoc tai ve va tai vao bo nho

   KHONG nen strip, hoac giu ban chua strip rieng:
     - binary tren may dich vu ma ban can go loi khi no sap
     - luc do ban can bang ky hieu de doc backtrace

   Cach chuyen nghiep (Bai 36.3): tach thong tin go loi ra file
   rieng bang objcopy TRUOC khi strip, giu file do, va giao
   binary da strip. Khi can go loi, ghep lai. */

# Xem binary con ky hieu khong:
nm app.exe | head           # neu rong sau strip -> da strip
file app.exe                # "stripped" hoac "not stripped"

Kiểm tra binary đã gia cố chưa

# Tren Linux, checksec kiem tra moi co bao ve:
checksec --file=./app
# RELRO      STACK CANARY   NX      PIE
# Full RELRO Canary found   NX en.  PIE en.

# Hoac hardening-check (tu goi devscripts):
hardening-check ./app

/* Neu mot cot bao "No" hoac "Partial", ban thieu mot co bao ve.
   Do la buoc kiem tra cuoi truoc khi coi mot binary la san sang
   phat hanh. Cac bao cao checksec la dinh dang chuan tren Linux;
   ban MinGW cua sach nay khong co no. */

Tự làm thử

Viết dòng lệnh bản debug và bản release cho một dự án của bạn.
Đặt _FORTIFY_SOURCE=2 mà quên -O2 và xác nhận nó không có tác dụng.
Trên Linux, dịch bản debug với sanitizer và chạy nó trên mã có lỗi bộ nhớ.
Viết một assert có tác dụng phụ và chứng minh nó biến mất với -DNDEBUG.
strip một binary và so kích thước trước sau.
Trên Linux, chạy checksec trên bản release và xác nhận đủ bốn cơ chế bảo vệ.

Trình chấm điểm tự động sẽ được bổ sung ở giai đoạn sau. Hiện tại bạn tự chạy thử trên máy.

Tóm tắt

Hai hồ sơ: debug chậm bắt mọi lỗi, release nhanh gia cố bảo mật.
Bản debug: -O0 -g3, sanitizer, -DDEBUG, giữ assert.
Bản release: -O2 -DNDEBUG, LTO, FORTIFY, canh gác, ASLR, RELRO, NX.
Không trộn hai hồ sơ; _FORTIFY_SOURCE cần -O1 trở lên, và assert biến mất với -DNDEBUG.
strip giảm kích thước binary nhưng bỏ ký hiệu; tách thông tin gỡ lỗi ra tệp riêng trước khi strip.