rust, безопасность и разбор сетевых пакетов

Как раст защитит программиста сервера от такого сценария?

Святой водой и молитвой, очевидно.

Но если ты про доступ к участку чужой памяти - так как ты описал не сработает, поскольку ты описал высокоуровневый протокол, ниже твоих данных будут сокеты, где есть и контрольная сумма и длина пакета и длина пользовательских данных.

Как раст защитит программиста сервера от такого сценария?

Легко. Если там нет unsafe{}, то при попытке считать за границами массива вылетит ошибка.

то при попытке считать за границами массива вылетит ошибка.

если опуститься на самый нижний уровень, когда результат системного вызова ОС передается в код на расте, массива раста ещё нет, он конструируется из сишного массива, и вот я забыл проверить длинну пришедшего пакета и соотв. сишного массива, а смотрю только на передаваемое клиентом поле длины.

https://doc.rust-lang.org/std/net/struct.TcpStream.html#impl-Read-for-%26TcpStream

Ты в read передаёшь свой буфер известного размера и тебе больше чем ты сам выделил в него не запишут.

Не, если ты сам себе выстрелишь в разные места и через transmute и unsafe сколхозишь мутный указатель на буфер - есть шансы, но разговор же ж не об этом.

на всех сисколах read, write, send, recv, и т.п. вместе с указателем обязательно передается длина буфера и для чтений возвращается сколько собственно прочитало. Стандартная библиотека делает акуратно обертки над этими вызовами что в безопасном коде никогда за память не выйдешь как бы не старался.

В пределах твой программы на расте такое не должно быть возможно без unsafe. Но если, условно, ядро говорит мол «вот пакет, его размер 1000 байт, начиная с этого адреса», а на самом деле там ничего нет, или есть, но не 1000 байт, а меньше, то здесь раст тебе никак не поможет, потому что проерить, соврало ли ядро - невозможно.

У тебя какая-то каша в тексте. И скорее всего такая же каша в мыслях (иначе откуда взяться каше в тексте?). Оттуда и все проблем

Агрессивнй пиар раста я не одобряю и сам не собираюсь с ним иметь дело, но конкретно тут не прав ты.

У тебя тоже каша. Никаких контрольных сумм в сокетах нет. И вообще это всё тут ни при чём.

Результат системного вызова возвращает в том числе и длину возвращёных данных, которые, кстати, заведомо не длинне чем предоставленный системному вызову заранее выделенный буфер. Я практически уверен, что все эти длины там не болтаются сами по себе, а учтены в растовской обёртке над вызовом. А поле длины, переданное клиентом, это уже логика верхнего уровня, которая ко всем этим деталям никакого отношения не имеет.

Я практически уверен, что все эти длины там не болтаются сами по себе, а учтены в растовской обёртке над вызовом.

Да, это прекрасно. Это что-то типа libc, но уже на расте, и оно соорудит безопасный растовский буфер. Но, допустим, я пишу кастомный код для МК, и у меня нет стандартной библиотеки. И не заморачиваюсь универсальными оберткам к recv/send. Тогда в любом случае в каком-то месте будет unsafe, в котором я забуду необходимую проверку.

unsafe сколхозишь мутный указатель на буфер - есть шансы, но разговор же ж не об этом.

Об этом. Хотя в общем, идея, что unsafe часть кода очень небольшая по сравнению с Safe, и небольшую часть можно как следует проверить на ошибки, вполне здравая, зачётная.

Так ты и на си забудешь.

А вообще ты поленился даже разобраться что происходит, а выступаешь. про smoltcp ты явно не слышал.

Так ты и на си забудешь.

Так это как раз реальный пример «из жизни С».

А вообще ты поленился даже разобраться что происходит, а выступаешь

Так вот я и разбираюсь. Гораздо лучше, когда подсказывают эксперты.

Хотя в общем, идея, что unsafe часть кода очень небольшая по сравнению с Safe, и небольшую часть можно как следует проверить на ошибки

That’s the point, поэтому так делать не стоит:

И не заморачиваюсь универсальными оберткам к recv/send. Тогда в любом случае в каком-то месте будет unsafe, в котором я забуду необходимую проверку

Но, допустим, я пишу кастомный код для МК, и у меня нет стандартной библиотеки.

Это никак не мешает тебе использовать BufReader. Он есть для МК.

https://docs.rs/embedded-io/latest/embedded_io/