glibc rand() 函数安全性分析及攻击案例

序言

glibc 提供的 rand() 函数广泛用于 C 语言程序中生成随机数，但其随机性存在严重缺陷。本文深入分析 rand() 的实现机制、安全弱点及实际攻击手法。

源码分析

核心数据结构

random_data 结构体是 rand() 的核心：

struct random_data {
    int32_t *fptr;    // 前端指针，参与当前计算
    int32_t *rptr;    // 后端指针，滞后于fptr
    int32_t *state;   // 状态数组
    int rand_type;    // 算法类型
    int rand_deg;     // 多项式阶数
    int rand_sep;     // fptr和rptr的间隔
    int32_t *end_ptr; // state数组末尾
};

算法类型

glibc 定义了5种随机数生成算法：

随机数生成流程

TYPE_0 (LCG) 实现

// 简化后的LCG实现
state[0] = (1103515245 * state[0] + 12345) & 0x7fffffff;
*result = state[0];

特点：

• 仅依赖前一个状态值
• 计算简单高效
• 安全性极低，知道一个输出即可预测后续所有值

TYPE_1-TYPE_4 实现

val = *fptr += (uint32_t)*rptr;  // 前后状态结合
*result = val >> 1;              // 丢弃最低位

// 指针移动
fptr++;
if (fptr >= end_ptr) fptr = state;
rptr++;
if (rptr >= end_ptr) rptr = state;

特点：

• 使用状态数组和移位寄存器
• 比LCG更复杂但仍可预测
• 需要泄漏整个state数组才能预测

初始化过程

srand() 函数初始化随机数生成器：

// 特殊处理种子0和1
if (seed == 0) seed = 1;

// TYPE_0初始化
state[0] = seed;

// 其他类型初始化
for (i = 1; i < rand_deg; i++)
    state[i] = (16807 * (uint32_t)state[i-1]) % 2147483647;

注意：

• srand(0) 和 srand(1) 效果相同
• 初始化质量直接影响随机性

攻击手法

1. 种子预测攻击

场景：程序使用固定或可预测种子（如时间）

攻击脚本：

#include <stdio.h>
#include <stdlib.h>
#include <time.h>

void predict_with_seed(int seed) {
    srand(seed);
    printf("预测值: %d\n", rand());
}

int main() {
    int known_seed = time(NULL);
    predict_with_seed(known_seed);
    return 0;
}

2. 状态泄漏攻击

场景：能泄漏state数组内容

攻击脚本：

#include <stdio.h>
#include <stdlib.h>

void dump_state(int32_t *state, int size) {
    for(int i=0; i<size; i++) {
        printf("state[%d] = %d\n", i, state[i]);
    }
}

void predict_with_state(int32_t *state, int type) {
    // 重建random_data结构
    // 使用泄漏的state预测后续随机数
}

3. LCG算法推断攻击

场景：使用TYPE_0时，知道一个输出即可预测

攻击脚本：

#include <stdio.h>

int predict_next(int current) {
    return (1103515245 * current + 12345) & 0x7fffffff;
}

int main() {
    int known = rand(); // 假设已知一个值
    printf("下一个值: %d\n", predict_next(known));
    return 0;
}

安全建议

1. 避免使用rand()：

   • 安全关键场景使用 /dev/urandom 或 getrandom()
   • 考虑使用更现代的算法如Mersenne Twister

2. 种子安全：

   • 使用高熵种子（如从安全源获取）
   • 避免基于时间的种子

3. 定期重置状态：

   • 长时间运行的程序应定期重新初始化随机数生成器

4. 状态保护：

   • 防止state数组泄漏
   • 考虑使用进程隔离保护敏感随机数状态

结论

glibc的rand()函数设计初衷是高效而非安全，其使用的算法（即使是默认的TYPE_3）在密码学意义上都不安全。开发者应当：

1. 充分了解不同随机数生成算法的特性
2. 根据应用场景选择适当的安全级别
3. 在安全敏感场景绝对避免使用rand()
4. 定期审查代码中的随机数使用情况

安全无小事，随机数的质量可能成为整个系统的阿喀琉斯之踵。