关于glibc默认关闭separate-code讨论

https://gitee.com/openeuler/Intel-glibc/issues/I799ES?from=project-issue
binutils 2.31版本支持了一个separate-code的安全增强特性，该特性的目标是将程序的.rodata段单独拆出来，使其没有可执行权限。
https://binutils.sourceware.narkive.com/HD6X5dwg/patch-0-4-ld-add-z-separate-code-option-to-elf-linker
https://sourceware.org/pipermail/binutils/2018-February/101950.html
特性合入之后，x86系列的程序由两个PT_LOAD变成4个PT_LOAD：
readelf -a a.out | less
![输入图片说明](https://foruda.gitee.com/images/1685419703984317007/d6855045_5592148.png "屏幕截图")

![输入图片说明](https://foruda.gitee.com/images/1685419731112326006/ba73132a_5592148.png "屏幕截图")

碰到的问题：特性合入之后程序启动类应用性能下降（典型的如批处理程序）。用unixbench测试性能发现该特性对多核性能影响8%~10%（硬件为6248环境/测试方法./Run &）。

针对该特性的调研：
X86架构：
GNU社区：x86默认使能该特性。
LLVM：默认行为为不使能该特性。https://binutils.sourceware.narkive.com/HD6X5dwg/patch-0-4-ld-add-z-separate-code-option-to-elf-linker
musl：默认不使能，参考LLVM。
其它架构：
binutils未使能或无此特性（看了下aarch64系列，无此特性）。

疑问&讨论：x86编译程序时不使能该特性，对程序真实的安全影响有多大？
详细的：我想优化批处理程序，在glibc里面将该特性关闭（只影响libc.so），bash程序/coreutils这些命令不改，还是4个PT-LOAD段。

由于只改glibc关闭该特性，libc.so的.rodata有可执行程序，但是应用无法串改数据，是否也达不到攻击的效果。

@yang_yanchao  @SuperSix173 @wswsamao @wangbin224 @juyin

src-openEuler / glibc
关闭

内容风险标识

评论 (4)

src-openEuler / glibc关闭 .gitee-modal { width: 500px !important; }

内容风险标识