GCC在CentOS中的安全设置

CentOS 下使用 GCC 的安全设置

一 编译器安全选项基线

• 建议将下列选项作为通用基线，并按需启用增强项（示例为一行命令，可按项目拆分到 Makefile/CMake）：
  • 栈保护：使用 -fstack-protector-strong（若需更全覆盖可用 -fstack-protector-all）。
  • 栈不可执行：使用 -z noexecstack（关闭为 -z execstack）。
  • 动态符号解析保护：使用 -Wl,-z,relro -Wl,-z,now（Full RELRO；Partial 为 -z lazy）。
  • 地址空间布局随机化：使用 -fPIE -pie（生成位置无关可执行文件并启用 ASLR；关闭为 -fno-pie/-no-pie）。
  • 内存与字符串安全检查：使用 -D_FORTIFY_SOURCE=2（需配合优化级别 -O2 或更高；关闭为 -U_FORTIFY_SOURCE）。
  • 示例（C/C++ 通用）：
    • gcc/clang：gcc -O2 -fstack-protector-strong -D_FORTIFY_SOURCE=2 -z noexecstack -fPIE -pie -Wl,-z,relro,-z,now -o app app.c
    • g++：g++ -O2 -fstack-protector-strong -D_FORTIFY_SOURCE=2 -z noexecstack -fPIE -pie -Wl,-z,relro,-z,now -o app app.cpp
  • 说明：上述选项分别对应于 NX(DEP)、RELRO、PIE(ASLR)、Canary、FORTIFY 等主流防护机制，能显著降低溢出、GOT 覆盖、ROP 等常见攻击面。

二 运行时与系统层加固

• 启用内核与库的地址随机化：确保 ASLR 为全随机（建议值 2），并确认关键库启用 PIE/NX。
  • 检查/设置：cat /proc/sys/kernel/randomize_va_space（写入 2 启用全随机）。
• 动态库搜索路径安全：优先使用 RUNPATH（默认），避免将不可信路径写入二进制；必要时显式用 -Wl,–enable-new-dtags 指定 RUNPATH，谨慎使用 RPATH 以免被劫持。
• 链接时安全：对位置无关代码使用 -fPIC（共享库/PIE 场景强烈建议）。
• 系统防护联动：保持 SELinux 为 enforcing 模式，按需编写最小化策略；或使用 AppArmor 对关键服务进行强制访问控制。

三 构建环境安全与多版本管理

• 多版本共存与切换：在 RHEL/CentOS 推荐使用 Software Collections（SCL） 的 devtoolset 安装与切换高版本 GCC，避免替换系统默认编译器。
  • 安装与启用示例：yum install centos-release-scl scl-utils-build；yum install devtoolset-7-gcc-c++.x86_64；scl enable devtoolset-7 bash（临时）或 echo “source /opt/rh/devtoolset-7/enable” >> ~/.bashrc（永久）。
• 升级策略：如需更高版本 GCC 而不影响系统环境，可使用 devtools 套件在独立前缀安装，按需启用，降低对系统稳定性与兼容性的影响。

四 验证与持续化

• 使用 checksec.sh 验证构建产物是否启用预期防护：
  • 获取与检测：git clone https://github.com/slimm609/checksec.sh/；./checksec.sh/checksec --file=your_binary
  • 关注字段：RELRO、STACK CANARY、NX、PIE、FORTIFY 等是否为期望状态（如 Full RELRO、Canary 存在、NX 启用、PIE 启用、Fortify 为 Yes/Fortified）。
• 工程化落地：将安全选项写入 Makefile/CMake 的 Release 配置，作为 CI 的必检项；上线前对关键可执行文件执行一次 checksec 基线核查。

五 最小化编译器暴露（可选）

• 在受控环境下，可通过文件系统权限限制普通用户对 GCC 的使用，仅授权给受控的编译组：
  • 示例：groupadd compilerGroup；chown root:compilerGroup /usr/bin/gcc；chmod 0750 /usr/bin/gcc（按需扩展至 c89/c99/cc/gcc-* 等）。
• 风险提示：该措施可能影响自动化构建与维护流程，务必在变更前评估并保留应急恢复手段（如 root 直连、应急 sudo 授权）。