JPCERT C Secure Coding Standard 日本語版 - プリプロセッサ (PRE) (#c01)
CERTコーディングスタンダードの利用条件／著作権・免責事項 00. はじめに 01. プリプロセッサ (PRE) 02. 宣言と初期化 (DCL) 03. 式 (EXP) 04. 整数 (INT) 05. 浮動小数点 (FLP) 06. 配列 (ARR) 07. 文字と文字列 (STR) 08. メモリ管理 (MEM) 09. 入出力 (FIO) 10. 環境 (ENV) 11. シグナル (SIG) 12. エラー処理 (ERR) 13. Application Programming Interface (API) 14. 並行性 (CON) 49. 雑則 (MSC) 50. POSIX (POS) AA. 参考情報 BB. Definitions CC. 未定義の動作 DD. 未規定の動作 XX. お問い合わせ Top へ 00はじめに このページでは、JPCERTコーディネーショ
2016年、C言語はどう書くべきか (後編) | POSTD
(前編はこちら： 2016年、C言語はどう書くべきか (前編) ) (編注：2020/08/18、いただいたフィードバックをもとに記事を修正いたしました。) システム依存の型 まだ「32 bitのプラットフォームでは32 bitのlong型、64 bitのプラットフォームでは64 bitのlong型がいい」という不満があるようですね。 プラットフォームに依存する2つの異なるサイズを使うため、 故意に コードを難しくすることを考えたくなければ、システム依存の型のために long を使おうとは思わないでしょう。 この状況では、プラットフォームのためにポインタ値を保持する整数型、 intptr_t を使うべきです。 モダン32-bitプラットフォームでは、 intptr_t は int32_t です。 モダン64-bitプラットフォームでは、 intptr_t は int64_t です。 int
2016年、C言語はどう書くべきか (前編) | POSTD
(訳注：2016/3/2、いただいた翻訳フィードバックをもとに記事を修正いたしました。) (訳注：著者のMattより、「本文中で明言はしていないが、この記事の内容はx86-64 Unix/Linux/POSIXでアプリケーションをプログラミングする場合にフォーカスしている。他のプログラミング領域では、対象とするシステムに応じた(例： 8-bitの組み込みシステム、10年前のコンパイラ、多くの異なるCPUアーキテクチャで動く必要のあるアプリケーション、Win/Linuxでのビルド互換性など)特有のアドバイスが必要」との補足を頂いております。) 以下の文章は2015年の始めに書いたドラフトで、今まで公開していませんでした。私のドラフト用フォルダの中で誰の目も引かなかったため、大部分が書いた時のままです。公開するにあたり、単純に2015年を2016年に変更しました。 必要な修正、改善、苦情があり
INT30-C. 符号無し整数の演算結果がラップアラウンドしないようにする
以降のセクションでは、符号無し整数のラップアラウンドが発生する可能性のある演算について詳しく見ていく。int より小さな整数型に対する演算には、整数拡張 (integer promotion) が適用される。算術演算が行われる前に通常の算術型変換 (usual arithmetic conversion) が適用され、オペランドの型を共通の型へ暗黙的に変換する場合もある。セキュアな算術演算を実装する前に、C言語の整数変換のルールを理解しておくべきである(「INT02-C. 整数変換のルールを理解する」を参照)。 整数値は、特に次のいずれかの目的で利用する場合には、ラップアラウンドさせてはならない。 ポインタ演算の整数オペランド (配列インデックスを含む) 可変長配列の宣言における代入式 [] に先立つ後置式 (postix expression) もしくは配列オブジェクトの要素を指し示す
AdLint
AdLint is a source code static analyzer. It can point out insecure or nonportable code fragments, and can measure various quality metrics of the source code. It (currently) can analyze source code compliant with ANSI C89 / ISO C90 and partly ISO C99. AdLint is written in Ruby. So, it is available for Windows, Mac OS X, GNU/Linux, FreeBSD and any other platforms supported by Ruby. Features Can poin
Ext3のコミット間隔を当てにしたアプリケーションは、Ext4でデータロスの恐れあり | スラド
4月にリリースされる予定のUbuntu 9.04（開発コード名：Jaunty Jackalope）のオプションで提供されているファイルシステムExt4を使用した場合、Ext3のコミット間隔を当てにしたアプリケーションによってはデータロスが発生する恐れがあるそうだ（本家記事より）。 バグレポートではKDE 4のデスクトップファイルがロードされた後にクラッシュし、KDEコンフィギュレーションなどのデータが全て失われるという状況が報告されている。 Ext4の開発者Ts'o氏によると、Ext4はXFSのように遅延アロケーションが用いられており、新しいデータの書き込みは最大60秒かかることもある。遅延アロケーションはディスク領域の割り当てを効率化し、書き込みパフォーマンスを向上させることが出来るのが利点とされている。KDEやGNOMEのデスクトップアプリケーションはコンフィギュレーションファイルなど
日本規格協会 JSA Group Webdesk
工業標準化法改正に伴うJIS規格名称変更のお知らせ 2019/07/01 2019年7月吉日 お 客 様 各 位 日本規格協会グループ 出版情報ユニット 工業標準化法改正に伴うJIS規格名称変更のお知らせ 拝啓 時下ますますご清祥のこととお慶び申し上げます。 平素より当協会の事業へ格別のご高配を賜り厚く御礼申し上げます。 さて、平成30年第196回通常国会において「不正競争防止法等の一部を改正する法律」（法律第33号）が可決成立し、工業標準化法が一部改正されました（平成30年5月30日公布）。 これにより2019年7月1日より、“工業標準化法”は“産業標準化法”に変わり、“日本工業規格（JIS）”は“日本産業規格（JIS）”に変わりました。 2019年6月末日までに発行されたJISについては、まえがきを除き、JIS規格中の「日本工業規格」を「日本産業規格」に読み替えてください。 2019年
メモリ操作の安全性を確保する、ANSI C規格準拠C言語コンパイラ | スラド デベロッパー
数日前の話になりますが、産業技術総合研究所は4月11日、既存のC言語プログラムにメモリ操作の安全性を付与できるコンパイラ、「Fail-Safe C — release 1」を開発したと発表しました（産総研のプレスリリース）。プレスリリースや開発部門である情報セキュリティ研究センターの解説ページによると、既存のソースコードをそのままこのコンパイラに掛けるだけで、危険なメモリ操作の自己チェック機能を備えた実行可能ファイルが生成されるという仕掛けのようです。さらに、このコンパイラは、ANSI C規格に準拠しながら、厳密には規格違反だが既に一般的になっている様々な記述手法についても安全な範囲でサポートしているとのこと。 バッファオーバーフロー等、メモリ破壊が原因のソフトウェア脆弱性が後を絶たない現状ですが、こういうコンパイラが普及したら少しはそのような状況が改善されるのかなぁ、と期待します。このコ
C 言語で、typedef 名から元の基本型を知る方法があれば教えてください。…
C 言語で、typedef 名から元の基本型を知る方法があれば教えてください。 整数型のみでかまいませんが、移植性の高い方法をお願いします。 符号の有無と大きさだけなら以下のような方法でわかるのですが… >|c| #include <stdio.h> typedef int my_int1; typedef unsigned int my_int2; typedef long int my_int3; typedef unsigned long int my_int4; int main() { printf("%d, %zu\n", ((my_int1)-1) < 0, sizeof(my_int1)); printf("%d, %zu\n", ((my_int2)-1) < 0, sizeof(my_int2)); printf("%d, %zu\n", ((my_int3)-1) <
IPA ISEC セキュア・プログラミング講座：C/C++言語編 第10章 著名な脆弱性対策：整数オーバーフロー攻撃対策
C言語やC++においては、整数演算がオーバーフローを起こしたり、ビット幅の少ない変数への代入によって上位ビットが失われても処理系がそれを誤りとして検出しないことが多い。このことが、整数オーバーフロー問題を起こりやすくしている。 整数オーバーフロー攻撃は、二進数の整数演算結果が予定外の値を生むケースを悪用し、侵入コードの送り込みと実行をもくろむものである。 この攻撃が成立すると、任意のマシンコードが実行され、最悪の場合攻撃者にコンピュータの管理者権限を取得される。軽くても、標的プログラムがサービス不能状態に陥ることが考えられる。 攻撃のメカニズムはつぎのようなものである──攻撃者はデータ配置のオフセットや転記データ長として、予定外の符号の値あるいは範囲を超えた値を生じさせるよう整数演算を誘導し、それを利用してメモリ上に攻撃コードを送り込む。それとともに関数の戻りアド レスやプログラムが使って
プログラミング言語 C に関するアンケートです。…
プログラミング言語 C に関するアンケートです。 ※プログラミング言語 C でプログラムを書いた経験がある方のみお答えください。
関数へのポインターの出力（回答編） - しおりの日記
question:1185077855 回答が 1 件しか付かなくて残念。しかし、コメント欄への書き込みも含めて、printf 系関数で変換指定子"%p"を使う方法しか出なかったので、やはり関数へのポインターを void へのポインターへ常に変換できると思っている人は多いのではないかと思われる。 CプログラミングFAQ―Cプログラミングのよく尋ねられる質問 (アジソン ウェスレイ・トッパン 情報化学シリーズ) 4.13 質問: 包括的な汎用ポインタ型は何か。関数へのポインタを void * に突っ込んだらコンパイラにしかられた。 回答: “包括的な汎用ポインタ型”は存在しない。void * に保障されていることはオブジェクト（すなわちデータ）を指すポインタを格納できることだけだ。関数ポインタを void * に変換することは移植性が高くない。（マシンによっては関数ポインタは非常に大きい。ど
関数へのポインターの出力 - しおりの日記
question:1185077855 あるオープンソースソフトウェアのソースコードを読んでいて、関数へのポインターを出力するコードのバグを見つけた。直そうと思ったんだけど、そういえば標準規格（ISO C）として関数へのポインターを出力する方法がないことに改めて気が付いたので、質問というか問題にしてみた。 自分でもちょっと書いてみたけど、まだ「たまご」の問題が完全ではない。まあ、たぶん今時そんなマシンは存在しないと思う（思いたい！）ので、放っておくかなぁ…。
C言語に関する問題です。 関数へのポインタを標準出力へ出力する移植性の高い方法（プログラム）を示してください。…
C言語に関する問題です。 関数へのポインタを標準出力へ出力する移植性の高い方法（プログラム）を示してください。
なぜアニメカーソル脆弱性を見逃したのか――MSのSDLチームが新ブログ
Microsoftはなぜアニメカーソルの脆弱性を見逃したのか。こうした疑問に応える場として同社SDLチームが新ブログを開設した。 Microsoftはなぜアニメーションカーソルの脆弱性を見逃したのか。同社Security Development Lifecycle（SDL）チームが新ブログを立ち上げ、初回でこの問題を取り上げている。 Microsoftはアプリケーション開発の各工程でセキュリティ強化を図るため、SDLのプロセスを取り入れた。しかし同社セキュリティ対策センター（MSRC）のブログによると、今回のアニメーションカーソルの脆弱性をめぐっては「MicrosoftはSDLを活用していながら、どうしてWindows Vistaのこの脆弱性を見つけられなかったのか」との疑問が社外から寄せられているという。 SDLのブログは、こうした問題について情報を提供し、セキュリティ／プライバシープロ
Universalchardet - やる気向上作戦
universalchardet / juniversalchardet Mozillaのエンコーディング判別ライブラリであるuniversalchardetを切り出して、Cライブラリ化してみた。さらにJavaにもポーティングしてみた。エンコーディング判別なのにcharacter set detectorとはこれいかに。 C版はLinux/Windowsに対応。Linuxでのインストールは make && make install で。autoconfなどという高尚なものは使っておりません。 文字コードの変換はこちら EncodingConversion Related Works jchardet (Java,旧バージョンのchardet) juniversalchardet（Java,universalchardetのJavaポート） Universal Encoding Dete
GCC, the GNU Compiler Collection
GCC, the GNU Compiler Collection The GNU Compiler Collection includes front ends for C, C++, Objective-C, Fortran, Ada, Go, and D, as well as libraries for these languages (libstdc++,...). GCC was originally written as the compiler for the GNU operating system. The GNU system was developed to be 100% free software, free in the sense that it respects the user's freedom. We strive to provide regular
C言語FAQ / C++言語FAQ【BohYoh.com】
プログラミング言語であるC言語およびC++言語に関して、よく聞かれる125の質問（FAQ）と、その解答です。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
C vs. C++ C または C++ で新規ソフトウェアを開発する場合、どちらの言語を選択しますか？…
Amazon.co.jp: CプログラミングFAQ: Cプログラミングのよく尋ねられる質問 (アジソンウェスレイ・トッパン情報科学シリーズ 81): スティーブサミット (著), Summit,Steve (原名), 欽一,北野 (翻訳): 本