一、checksec 是什么checksec是一个用于检查 Linux 可执行文件、动态库、内核配置是否启用常见二进制安全加固hardening的脚本工具。它不扫描源码漏洞也不跑渗透测试主要读 ELF 头、程序头、动态段、符号表等判断编译/链接时有没有打开栈保护、PIE、NX 等选项。1.1 主要作用合规检查内核侧检查典型输出RELRO | STACK CANARY | NX | PIE | RPATH | RUNPATH | Symbols | FORTIFY | ...1.2 常见用法# 单个文件./checksec--file../hostapd1.3 它检查什么、不检查什么会检查用户态二进制RELRO、Stack Canary、NX、PIERPATH/RUNPATH、是否 stripSymbolsFORTIFY_SOURCE 相关特征一般不检查或需别的手段源码 bug、逻辑漏洞运行时 SELinux、Capabilities、SECCOMP网络协议、WiFi 配置安全加密/sign 是否正确那是另一套工具链二、什么是全防护、RELRO、STACK CANARY、NX、RPATH / RUNPATH、Symbols、FORTIFY2.1 全防护全防护 通过编译/链接选项让独立可执行文件具备 RELRO、栈保护、NX、PIE、FORTIFY 等二进制加固并在 checksec 类扫描中全部达标它们都是编译/链接阶段加在 ELF 可执行文件上的防护用来提高漏洞被利用的难度不能替代修 bug。c 全保护前 RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable Filename Partial RELRO No canary found NX disabled No PIE No RPATH No RUNPATH No Symbols No019./hostapd 全保护后 RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable FILE Full RELRO Canary found NX enabled PIE enabled No RPATH No RUNPATH No Symbols Yes019../hostapd2.2 RELRORelocation Read-Only你看到的Full RELRO是什么RELRO Relocation Read-Only把 ELF 里一部分原本可写的「重定位相关数据」在程序启动后改成只读。典型涉及GOTGlobal Offset Table全局偏移表动态链接时用来存外部函数/变量的实际地址部分.data.rel.ro等段防什么一类常见攻击是GOT 覆写先利用缓冲区溢出等漏洞改 GOT 里某个函数指针程序下次调用该函数时跳到攻击者控制的地址例如system()Partial RELRO只保护部分区域如.got.plt仍可能可写Full RELRO配合-Wl,-z,nowBIND_NOW启动时完成重定位并把 GOT 等设为只读利用面更小对应选项-Wl,-z,relro -Wl,-z,now2.3 STACK CANARY栈金丝雀你看到的Canary found是什么编译器在有溢出风险的函数栈帧里在局部变量和返回地址之间插入一个随机/canary 值常叫 stack cookie。函数返回前会检查 canary 是否被改若被改说明栈可能被溢出程序通常直接 abort而不是跳到被篡改的返回地址。防什么栈缓冲区溢出经典利用链溢出局部数组 → 覆盖 saved return address → 跳转到 shellcode/ROPCanary 让「覆盖返回地址」更难成功因为要先猜中或泄露 canary。对应选项-fstack-protector-strongstrong 表示对更多有数组/alloca 的函数启用比-fstack-protector覆盖更广注意不是每个函数都有 canary优化、无风险栈帧可能没有checksec 通过符号表里是否有__stack_chk_fail、__stack_chk_guard等判断是否链接了栈保护机制2.4 NXNon-eXecutable stack / 不可执行栈你看到的NX enabled是什么NX 来自CPU MMU ELF 加载的配合内存页可以标记为不可执行No eXecute。对可执行文件链接器会生成GNU_STACK程序头告诉加载器栈默认不应可执行。防什么早期攻击常把shellcode 放在栈上再跳过去执行。若栈不可执行RW 但非 RWE这类「栈上跑代码」会直接 fault。checksec 判定逻辑大致是有GNU_STACK且不是 RWERead-Write-Execute→ NX enabled无GNU_STACK或栈段带X→ NX disabled对应选项-Wl,-z,noexecstack和 DEP 的关系在 x86 上常叫 DEPARM/Linux 上习惯叫 NX bit。本质都是W^X写 xor 执行思路的一部分。注意NX不阻止 ROP攻击者仍可用已有代码片段gadget链式调用所以需要 PIE/ASLR 等配合。2.5 PIEPosition Independent Executable你看到的PIE enabled是什么PIE 让主程序本身像共享库一样以位置无关方式链接未开 PIEELF 类型常为ET_EXEC加载地址相对固定开 PIE类型为ET_DYN配合 ASLR代码段、数据段基址每次运行可随机化防什么ROP / 跳转到固定地址类攻击。若代码总在固定地址如0x08048000附近攻击者容易硬编码 gadget 地址。PIE 内核 ASLR 后每次进程启动布局不同利用难度显著上升。对应选项编译-fPIE 链接-pie和 ASLR 的关系组件作用PIE让可执行文件可以被随机加载ASLR内核实际去做随机加载只有 PIE、内核未开 ASLR随机化有限但 checksec 仍会把 PIE 标为 enabled。2.6 RPATH / RUNPATH你看到的No RPATH/No RUNPATH是什么动态链接器找.so的路径来源之一RPATH编译时写进 ELF优先级较高RUNPATH较新的机制搜索顺序与 RPATH 不同为何 checksec 关心若 RPATH 指向可写目录如/tmp、NFS 可写路径攻击者可能替换恶意 .so在程序加载时劫持执行流。No RPATH / No RUNPATH表示未硬编码这类搜索路径一般更安全依赖默认/lib、/usr/lib和LD_LIBRARY_PATH等。hostapd 在你们工程里多为静态链接为主、依赖较少这两项为 No 是正常且理想的。2.7 Symbols符号表你看到的No Symbols是什么ELF 是否保留调试/符号信息函数名、全局变量名等。和安全的关系有符号逆向、定位 gadget、分析布局更容易No Symbols / strippedstrip 后符号减少提高逆向成本不是密码学意义上的安全checksec 这里偏信息泄露/逆向难度维度不是 exploit 链上的核心 mitigation。你们打包里还会对 hostapd 做 strip所以常见为 No Symbols。2.8 FORTIFYFORTIFY_SOURCE你看到的YesFortified 0 / Fortifiable 19是什么GCC 在-D_FORTIFY_SOURCE1/2且有优化-O1 及以上时把部分 libc 危险 API 换成带长度检查的版本例如memcpy→__memcpy_chkstrcpy→__strcpy_chksprintf→__sprintf_chk编译期若能推断缓冲区大小运行时会做边界检查越界可能abort而不是 silent corruption。三个数字含义字段你的 hostapd含义FORTIFYYes二进制里能检测到 fortify 机制已启用Fortified0实际被替换成_chk版本的调用点数量扫描统计Fortifiable19理论上可被 fortify 的调用点数量Fortified 为 0、Fortifiable 为 19不代表 FORTIFY 没开常见原因uClibc 的 fortify 覆盖弱于 glibc很多调用点编译器推不出缓冲区大小无法插入_chk优化/内联导致扫描统计偏低你们链的是uClibcFORTIFY Yes 已说明选项生效具体 fortified 数量不必与 glibc 桌面程序对比。对应选项-D_FORTIFY_SOURCE2 -O22.9 整体关系一层层挡 exploit可以把一次典型内存破坏利用想成多步每项防护挡在不同环节1. 写越界 / 危险拷贝 └─ FORTIFY、部分Canary 前置检查 2. 栈溢出改返回地址 └─ Stack Canary 3. 在栈上放 shellcode 并执行 └─ NX 4. 跳转到已知固定地址 / ROP └─ PIE ASLR 5. 改 GOT / 函数指针 └─ Full RELRO 6. 加载恶意动态库 └─ No RPATH/RUNPATH 7. 分析二进制找 gadget └─ No Symbols辅助对照hostapd 防护前后项防护前防护后RELROPartialFullCanaryNoYesNXdisabledenabledPIENo (ET_EXEC)Yes (ET_DYN)FORTIFYNoYes
