普遍的弱点

这可能会导致意外的系统状态，并取决于上下文，包括拒绝服务和代码执行。

信号处理程序通常旨在中断程序甚至其他信号的正常功能，以通知事件的过程。当信号处理程序使用全局或静态变量，或调用最终取决于该状态或其相关元数据的函数时，它可能会损坏正常功能使用的系统状态。这可能使该计划处于种族条件或其他弱点，这些弱点使攻击者能够使程序状态损坏。虽然拒绝服务通常是结果，但在某些情况下，这种弱点可能被利用用于执行代码。

有几种不同的情况引入了此问题：

• 从处理程序内部调用非伦敦功能。一个示例是malloc（），它在管理内存时修改了内部全局变量。实际上，很少有功能是重新进入的。
• Code sequences (not necessarily function calls) contain non-atomic use of global variables, or associated metadata or structures, that can be accessed by other functionality of the program, including other signal handlers. Frequently, the same function is registered to handle multiple signals.
• The signal handler function is intended to run at most one time, but instead it can be invoked multiple times. This could happen by repeated delivery of the same signal, or by delivery of different signals that have the same handler function (CWE-831）。

请注意，在某些环境或上下文中，信号处理程序可能会被中断。

If both a signal handler and the normal behavior of the product have to operate on the same set of state variables, and a signal is received in the middle of the normal execution's modifications of those variables, the variables may be in an incorrect or corrupt state during signal handler execution, and possibly still incorrect or corrupt upon return.

示例1

This code registers the same signal handler function with two different signals (CWE-831）。If those signals are sent to the process, the handler creates a log message (specified in the first argument to the program) and exits.

处理程序函数使用全局状态（GlobalVar和LogMessage），并且可以通过Sighup和Sigment信号调用。攻击方案可能会遵循以下界限：

• 该程序开始执行，初始化logmessage，并注册信号处理程序，以进行叹息和sigterm。
• The program begins its "normal" functionality, which is simplified as sleep(), but could be any functionality that consumes some time.
• 攻击者发送了叹息，该叹息是调用处理程序的（称此“叹气手”）。
• Sighup Handler开始执行，调用Syslog（）。
• syslog（）呼叫malloc（），它是非诱饵的。malloc（）开始修改元数据以管理堆。
• 然后，攻击者发送Sigment。
• SIGHUP-handler is interrupted, but syslog's malloc call is still executing and has not finished modifying its metadata.
• 调用Sigterm处理程序。
• SIGTERM-handler records the log message using syslog(), then frees the logMessage variable.

在这一点上，堆的状态尚不确定，因为Malloc仍在修改堆的元数据。元数据可能处于不一致的状态。Sigterm Handler呼叫Free（）假设元数据是不一致的，可能会导致其在管理堆时将数据写入错误的位置。结果是内存损坏，可能导致崩溃甚至代码执行，具体取决于代码运行的情况。

Note that this is an adaptation of a classic example as originally presented by Michal Zalewski [REF-360];原始示例被证明是可利用代码执行的。

另请注意，strdup（argv [1]）呼叫包含一个潜在的缓冲区过读（CWE-126）如果没有任何参数调用程序，因为ARGC为0，而ARGV [1]将指向数组范围之外。

示例2

以下代码注册一个带有多个信号的信号处理程序，以便在发生特定事件时登录并在退出之前释放关联内存。

但是，以下事件序列可能会导致双重（CWE-415）：

1. 叹息已经传递给该过程
2. sh() is invoked to process the SIGHUP
3. SH（）的第一个调用达到了全局1释放的地步
4. At this point, a SIGTERM is sent to the process
5. the second invocation of sh() might do another free of global1
6. this results in a double-free (CWE-415)

这只是上述代码的一种可能的利用。作为另一个例子，Syslog调用可能使用不是异步信号安全的malloc调用。这可能导致堆管理结构的损坏。有关更多详细信息，请咨询“为娱乐和利润传递信号”中的示例[REF-360]。