Rust Web应用整数溢出实战：从‘电子木鱼’CTF题看i32的边界与安全编码-编程实验室

Rust Web应用整数溢出实战：从“电子木鱼”CTF题看i32的边界与安全编码

在2023年的VNCTF竞赛中，一道名为“电子木鱼”的Web题目引发了开发者对Rust语言安全特性的深入思考。这道题巧妙地将佛教文化中的“功德”概念与编程语言的基础数据类型漏洞相结合，通过一个看似简单的数值计算场景，揭示了i32类型边界处理不当可能导致的严重后果。本文将完整还原漏洞利用过程，并延伸探讨如何在真实Rust项目中构建安全的数值计算体系。

1. 漏洞场景还原：电子木鱼系统的功德机制

题目模拟了一个基于Actix-web框架构建的功德积累系统，核心功能允许用户通过不同操作增减功德值。系统初始化时预设了以下行为模式：

#[derive(Deserialize)] struct Info { name: String, quantity: i32 } static GONGDE: AtomicI32 = AtomicI32::new(1000); #[post("/upgrade")] async fn upgrade(body: web::Form<Info>) -> Json<APIResult> { // 关键校验逻辑 if GONGDE.get() < 0 { return Json(APIResult { success: false, message: "功德为负" }); } if let Some(payload) = PAYLOADS.iter().find(|u| u.name == body.name) { let mut cost = payload.cost; if payload.name == "Donate" || payload.name == "Cost" { cost *= body.quantity; // 危险操作点 } // ...后续校验逻辑 } }

系统包含五种主要操作类型，每种对应不同的功德值变化：

操作类型	基础功德值	数量参数影响	业务含义
Donate	10	乘算	每单位捐赠对应功德
Cost	20	乘算	每单位消耗对应功德
CCCCcost	500	固定	大额功德消耗
Loan	-300	固定	向佛祖借贷功德
Sleep	0	固定	无功德变化

2. i32类型边界与算术溢出原理

Rust作为内存安全的系统级语言，其基本整数类型具有明确的数值范围。对于本题涉及的i32类型：

数值范围：-2,147,483,648 到 2,147,483,647
二进制表示：32位补码形式
溢出行为：
- debug模式：触发panic
- release模式：二进制环绕（two's complement wrapping）

当进行乘法运算时，若结果超出类型范围将发生整数溢出。以题目中的cost *= quantity为例：

let base_cost = 20; // Cost操作基础值 let quantity = 107374182; // 精心构造的输入 let total = base_cost * quantity; // 实际结果：-2147483648

计算过程解析：

20 * 107374182 = 2,147,483,640 （理论值） 2,147,483,640 + 8 = 2,147,483,648 （超过i32最大值） 二进制环绕后变为 -2,147,483,648

3. 漏洞利用链构造与实战演示

3.1 攻击路径分析

完整的漏洞利用需要绕过三层校验：

初始功德值检查（GONGDE.get() ≥ 0）
数量参数正数检查（quantity > 0）
功德余额检查（GONGDE.get() ≥ cost）

通过以下步骤可实现任意功德值修改：

选择Cost或Donate这类乘算操作
构造特定quantity使乘积刚好溢出为负数
利用负数cost绕过余额检查（减法实际变为加法）

3.2 具体攻击过程

使用curl构造恶意请求示例：

# 初始功德值为1000时触发溢出 curl -X POST http://target/upgrade \ -d "name=Cost&quantity=107374182" \ -H "Content-Type: application/x-www-form-urlencoded"

关键参数计算逻辑：

使20 * quantity = 2147483648（即2³¹）
实际运算结果变为-2147483648
系统执行GONGDE.set(1000 - (-2147483648))
最终功德值变为2147484648（远超初始值）

3.3 防御性代码对比

原始危险代码与安全写法的对比：

// 危险写法（直接使用运算符） let total = base * quantity; // 安全写法1（使用checked方法） if let Some(val) = base.checked_mul(quantity) { // 安全处理逻辑 } else { // 溢出处理 } // 安全写法2（使用Wrapping类型） use std::num::Wrapping; let total = Wrapping(base) * Wrapping(quantity);

4. Rust安全编程的最佳实践

4.1 数值操作防护方案

针对不同场景的防御策略选择：

场景类型	推荐方案	特点说明
业务关键计算	`checked_*`系列方法	显式处理溢出情况
加密/哈希运算	`Wrapping`类型	保持数学上的二进制环绕特性
用户输入处理	`saturating_*`系列方法	自动钳制到类型边界
复杂数学运算	`num-bigint`库	支持任意精度整数

4.2 框架层面的安全增强

在Web框架中构建安全防线：

// 中间件示例：输入参数预处理 async fn validate_params( mut req: ServiceRequest, next: Next<'_> ) -> Result<ServiceResponse, Error> { // 检查数值参数范围 if let Some(q) = req.query::<i32>("quantity") { if q > MAX_SAFE_QUANTITY { return Err(ErrorBadRequest("参数过大")); } } next.call(req).await } // Actix-web框架中添加中间件 App::new() .wrap(validate_params) .service(upgrade)