安全標誌fstack-protector Realm庫Android

Question

我開發了一個android應用程序，一個安全團隊實現了一個安全測試，並向我發送了一個沒有「-fstack-protector」選項的Realm庫的漏洞。 原始消息： 「堆棧canaries可以大大增加利用堆棧緩衝區溢出的難度，因爲它會強制攻擊者通過一些非傳統手段獲取對指令指針的控制權，例如破壞堆棧上的其他重要變量。 Built與選項-fstack保護器」

IB/x86_64的/ lib中libtool-checker.so/x86_64的/ lib中librealm-jni.so/86/libcrashlytics-envelope.so LIB/86/librealm-jni.so 的lib/armeabi/librealm-jni.so lib/armeabi-v7a/librealm-jni.so lib/arm64-v8a/librealm-jni.so lib/mips/librealm- jni.so

我的問題是，如果有一個原因，它有它嗎？或我能做什麼？或者如果 存在風險？

Answer 1

複製粘貼來自：https://github.com/realm/realm-java/issues/4553

作爲一個通用的項目，我們必須不斷評估權衡性能和安全性。在這種情況下，您正在討論在移動設備上運行的程序，因此如果攻擊者具有訪問攻擊級別以使用Realm攻擊應用程序，則他們可以使用常規API修改/查看Realm文件。沒有一個Java API會允許這種類型的攻擊媒介。

也就是說，我們並沒有真正嘗試啓用這個設置，我們需要測試它在執行任何操作之前對二進制大小和性能的影響。

雖然Realm Java和Realm Core都是開源的，但是如果你想要的話，你可以在兩個地方添加這個標誌來構建你自己的Realm版本