নেটিভ কোড ব্যবহার
সেভ করা পৃষ্ঠা গুছিয়ে রাখতে 'সংগ্রহ' ব্যবহার করুন
আপনার পছন্দ অনুযায়ী কন্টেন্ট সেভ করুন ও সঠিক বিভাগে রাখুন।
OWASP বিভাগ: MASVS-CODE: কোড গুণমান
ওভারভিউ
অ্যান্ড্রয়েড অ্যাপ্লিকেশনগুলি নির্দিষ্ট কার্যকারিতার জন্য C এবং C++ এর মতো ভাষায় লেখা নেটিভ কোডের সুবিধা নিতে পারে। যাইহোক, যখন একটি অ্যাপ্লিকেশন এই নেটিভ কোডের সাথে ইন্টারঅ্যাক্ট করার জন্য জাভা নেটিভ ইন্টারফেস (জেএনআই) ব্যবহার করে, তখন এটি সম্ভাব্যভাবে বাফার ওভারফ্লো এবং নেটিভ কোড বাস্তবায়নে উপস্থিত হতে পারে এমন অন্যান্য সমস্যাগুলির মতো দুর্বলতার জন্য নিজেকে প্রকাশ করে।
প্রভাব
পারফরম্যান্স অপ্টিমাইজেশান এবং অস্পষ্টতার মতো খুব ইতিবাচক প্রভাব থাকা সত্ত্বেও, অ্যান্ড্রয়েড অ্যাপ্লিকেশনগুলিতে নেটিভ কোড ব্যবহার করলে নেতিবাচক নিরাপত্তা প্রভাব থাকতে পারে। C/C++-এর মতো নেটিভ কোড ল্যাঙ্গুয়েজগুলিতে Java/Kotlin-এর মেমরি নিরাপত্তা বৈশিষ্ট্যের অভাব রয়েছে, যা তাদের বাফার ওভারফ্লো, ব্যবহারের পর-মুক্ত ত্রুটি এবং অন্যান্য মেমরি দুর্নীতির সমস্যাগুলির মতো দুর্বলতার জন্য সংবেদনশীল করে তোলে - যা ক্র্যাশ বা নির্বিচারে কোড সম্পাদনের দিকে পরিচালিত করে। অতিরিক্তভাবে, যদি নেটিভ কোড কম্পোনেন্টে একটি দুর্বলতা বিদ্যমান থাকে, তবে এটি সম্পূর্ণ অ্যাপ্লিকেশনের সাথে আপস করতে পারে, এমনকি যদি বাকিটি জাভাতে নিরাপদে লেখা থাকে।
প্রশমন
উন্নয়ন এবং কোডিং নির্দেশিকা
- সুরক্ষিত কোডিং নির্দেশিকা : C/C++ প্রকল্পগুলির জন্য, বাফার ওভারফ্লো, পূর্ণসংখ্যা ওভারফ্লো এবং ফর্ম্যাট স্ট্রিং আক্রমণের মতো দুর্বলতাগুলি হ্রাস করতে প্রতিষ্ঠিত সুরক্ষিত কোডিং মান (যেমন, CERT, OWASP) মেনে চলুন। গুণমান এবং নিরাপত্তার জন্য পরিচিত Abseil এর মতো লাইব্রেরিগুলোকে অগ্রাধিকার দিন। যখনই সম্ভব, রাস্টের মতো মেমরি-নিরাপদ ভাষাগুলি গ্রহণ করার কথা বিবেচনা করুন, যা C/C++ এর সাথে তুলনীয় কর্মক্ষমতা প্রদান করে।
- ইনপুট যাচাইকরণ : ইনজেকশন আক্রমণ এবং অন্যান্য দুর্বলতা প্রতিরোধ করতে ব্যবহারকারীর ইনপুট, নেটওয়ার্ক ডেটা এবং ফাইল সহ বাহ্যিক উত্স থেকে প্রাপ্ত সমস্ত ইনপুট ডেটা কঠোরভাবে যাচাই করুন।
সংকলন বিকল্পগুলিকে শক্ত করুন
ELF ফরম্যাট ব্যবহার করে নেটিভ লাইব্রেরিগুলি স্ট্যাক প্রোটেকশন (ক্যানারি), রিলোকেশন রিড-অনলি (RELRO), ডেটা এক্সিকিউশন প্রিভেনশন (NX), এবং পজিশন-ইনডিপেনডেন্ট এক্সিকিউটেবলস (PIE) এর মতো প্রতিরক্ষামূলক প্রক্রিয়া সক্রিয় করে দুর্বলতার একটি পরিসরের বিরুদ্ধে শক্ত করা যেতে পারে। সুবিধামত, Android NDK সংকলন বিকল্পগুলি ইতিমধ্যেই ডিফল্টরূপে এই সমস্ত সুরক্ষা সক্ষম করে।
একটি বাইনারি মধ্যে এই নিরাপত্তা ব্যবস্থার বাস্তবায়ন যাচাই করতে, আপনি hardening-check বা pwntools মত টুল ব্যবহার করতে পারেন।
বাশ
$ pwn checksec --file path/to/libnativecode.so
Arch: aarch64-64-little
RELRO: Full RELRO
Stack: Canary found
NX: NX enabled
PIE: PIE enabled
তৃতীয় পক্ষের লাইব্রেরিগুলি অরক্ষিত নয় তা যাচাই করুন৷
তৃতীয়-পক্ষের লাইব্রেরিগুলি বেছে নেওয়ার সময়, উন্নয়ন সম্প্রদায়ের মধ্যে একটি দৃঢ় খ্যাতি আছে এমনগুলিকে ব্যবহার করতে অগ্রাধিকার দিন৷ Google Play SDK Index-এর মতো সংস্থানগুলি আপনাকে সু-সম্মানিত এবং বিশ্বস্ত লাইব্রেরি শনাক্ত করতে সাহায্য করতে পারে। নিশ্চিত করুন যে আপনি লাইব্রেরিগুলিকে সর্বশেষ সংস্করণে আপডেট করে রেখেছেন এবং এক্সপ্লয়েট-ডিবি- র ডেটাবেসের মতো সংস্থানগুলি ব্যবহার করে সক্রিয়ভাবে সেগুলির সাথে সম্পর্কিত যে কোনও পরিচিত দুর্বলতার জন্য অনুসন্ধান করুন৷ [library_name] vulnerability বা [library_name] CVE মতো কীওয়ার্ড ব্যবহার করে একটি ওয়েব অনুসন্ধান গুরুত্বপূর্ণ নিরাপত্তা তথ্য প্রকাশ করতে পারে।
সম্পদ
এই পৃষ্ঠার কন্টেন্ট ও কোডের নমুনাগুলি Content License-এ বর্ণিত লাইসেন্সের অধীনস্থ। Java এবং OpenJDK হল Oracle এবং/অথবা তার অ্যাফিলিয়েট সংস্থার রেজিস্টার্ড ট্রেডমার্ক।
2025-07-29 UTC-তে শেষবার আপডেট করা হয়েছে।
[[["সহজে বোঝা যায়","easyToUnderstand","thumb-up"],["আমার সমস্যার সমাধান হয়েছে","solvedMyProblem","thumb-up"],["অন্যান্য","otherUp","thumb-up"]],[["এতে আমার প্রয়োজনীয় তথ্য নেই","missingTheInformationINeed","thumb-down"],["খুব জটিল / অনেক ধাপ","tooComplicatedTooManySteps","thumb-down"],["পুরনো","outOfDate","thumb-down"],["অনুবাদ সংক্রান্ত সমস্যা","translationIssue","thumb-down"],["নমুনা / কোড সংক্রান্ত সমস্যা","samplesCodeIssue","thumb-down"],["অন্যান্য","otherDown","thumb-down"]],["2025-07-29 UTC-তে শেষবার আপডেট করা হয়েছে।"],[],[],null,["# Use of native code\n\n\u003cbr /\u003e\n\n**OWASP category:** [MASVS-CODE: Code Quality](https://mas.owasp.org/MASVS/10-MASVS-CODE)\n\nOverview\n--------\n\nAndroid applications can take advantage of native code written in languages like\nC and C++ for specific functionalities. However, when an application utilizes\nthe Java Native Interface (JNI) to interact with this native code, it\npotentially exposes itself to vulnerabilities like buffer overflows and other\nissues that may be present in the native code implementation.\n\nImpact\n------\n\nDespite very positive impacts such as performance optimization and obfuscation,\nutilizing native code in Android applications can have negative security\nimpacts. Native code languages like C/C++ lack the memory safety features of\nJava/Kotlin, making them susceptible to vulnerabilities like buffer overflows,\nuse-after-free errors, and other memory corruption issues -- leading to crashes\nor arbitrary code execution. Additionally, if a vulnerability exists in the\nnative code component, it can potentially compromise the entire application,\neven if the rest is written securely in Java.\n\nMitigations\n-----------\n\n### Development and coding guidance\n\n- **Secure Coding Guidelines**: For C/C++ projects, adhere to established secure coding standards (e.g., CERT, OWASP) to mitigate vulnerabilities like buffer overflows, integer overflows, and format string attacks. Prioritize libraries like Abseil known for quality and security. Whenever possible, consider adopting memory-safe languages like Rust, which offer performance comparable to C/C++.\n- **Input Validation**: Rigorously validate all input data received from external sources, including user input, network data, and files, to prevent injection attacks and other vulnerabilities.\n\n### Harden the compilation options\n\nNative libraries utilizing the ELF format can be hardened against a range of\nvulnerabilities by activating protective mechanisms like stack protection\n(Canary), relocation read-only (RELRO), data execution prevention (NX), and\nposition-independent executables (PIE). Conveniently, the Android NDK\ncompilation options already enable all these protections by default.\n\nTo verify the implementation of these security mechanisms within a binary, you\ncan employ tools like `hardening-check` or `pwntools`. \n\n### Bash\n\n $ pwn checksec --file path/to/libnativecode.so\n Arch: aarch64-64-little\n RELRO: Full RELRO\n Stack: Canary found\n NX: NX enabled\n PIE: PIE enabled\n\n### Verify third-party libraries are not vulnerable\n\nWhen choosing third-party libraries, prioritize using those with a solid\nreputation in the development community. Resources like the [Google Play SDK\nIndex](https://play.google.com/sdks) can help you identify well-regarded and trustworthy libraries. Ensure\nyou keep the libraries updated to the latest versions and proactively search for\nany known vulnerabilities related to them using resources like the databases\nfrom [Exploit-DB](https://www.exploit-db.com/). A web search using keywords like\n`[library_name] vulnerability` or `[library_name] CVE` can reveal critical\nsecurity information.\n\nResources\n---------\n\n- [CWE-111: Direct Use of Unsafe JNI](https://cwe.mitre.org/data/definitions/111.html)\n- [Exploit database](https://www.exploit-db.com/)\n- [Check binaries for security hardening features](https://www.systutorials.com/docs/linux/man/1-hardening-check/)\n- [Check binary security settings with pwntools](https://docs.pwntools.com/en/stable/commandline.html#pwn-checksec)\n- [Linux binary security hardening](https://medium.com/@n80fr1n60/linux-binary-security-hardening-1434e89a2525)\n- [Hardening ELF binaries using Relocation Read-Only (RELRO)](https://www.redhat.com/fr/blog/hardening-elf-binaries-using-relocation-read-only-relro)\n- [OWASP binary protection mechanisms](https://mas.owasp.org/MASTG/Android/0x05i-Testing-Code-Quality-and-Build-Settings/#binary-protection-mechanisms)\n- [SEI CERT Coding Standards](https://wiki.sei.cmu.edu/confluence/display/seccode/SEI+CERT+Coding+Standards)\n- [OWASP Developer Guide](https://owasp.org/www-project-developer-guide/release/)\n- [Google Play SDK Index](https://play.google.com/sdks)\n- [Android NDK](/ndk)\n- [Android Rust introduction](https://source.android.com/docs/setup/build/rust/building-rust-modules/overview)\n- [Abseil (C++ Common Libraries)](https://github.com/abseil/abseil-cpp)\n- [PIE is enforced by the linker](https://cs.android.com/android/platform/superproject/main/+/main:bionic/linker/linker_main.cpp;l=425?q=linker_main&ss=android%2Fplatform%2Fsuperproject%2Fmain)"]]
