关键业务内存保护需构建四层防线：编译阶段启用-fstack-protector-strong、-fPIE/-pie及_FORTIFY_SOURCE=2；运行时用mprotect设警戒页并注册SIGSEGV处理器；内核级确保ASLR全开（randomize_va_space=2）、NX/DEP生效及STACKPROTECTOR_STRONG启用；cgroups v2设memory.max与memory.high实施硬软内存围栏。
服务器系统加固中，内存保护与缓冲区溢出防御不是可选项，而是关键业务稳定运行的底线。核心思路是“分层设防”：从编译阶段注入防护逻辑，到运行时限制内存行为，再到内核级强制隔离，每一层都针对攻击链的不同环节。
编译阶段加固：让程序自带免疫力
程序在构建时就应具备基础防御能力，避免把风险留给运行时：
- 启用强栈保护：gcc -fstack-protector-strong 是生产环境推荐选项，它为含数组、指针或调用alloca的函数自动插入canary校验，比-basic更全面，又比-all更轻量
- 强制位置无关执行：-fPIE -pie 编译链接，确保二进制支持ASLR，防止攻击者精准定位gadget地址
- 禁用高危函数：通过编译器宏（如-D_FORTIFY_SOURCE=2）启用glibc的运行时检查，使strcpy等调用在检测到越界时直接中止
- 避免裸指针操作：C++项目优先使用std::string、std::vector及span类容器，减少手动内存管理场景
运行时内存管控：主动划定不可触碰区
对已知敏感数据区域，不能只靠“不犯错”，还要做“硬隔离”：
- 用mprotect()设置警戒页：分配缓冲区前后各预留一个页（getpagesize()），设为PROT_NONE，任何越界访问立即触发SIGSEGV
- 确保地址对齐：使用posix_memalign()而非malloc分配，避免mprotect因未对齐而失败
- 注册细粒度信号处理器：捕获SIGSEGV后，读取si_addr和寄存器上下文，快速定位越界源头，而非简单重启进程
内核级防护：堵住底层绕过路径
用户态加固可能被内核漏洞或特殊系统调用绕过，必须由内核兜底：
- 确认ASLR全启用：cat /proc/sys/kernel/randomize_va_space 输出必须为2；若非2，立即写入并持久化到/etc/sysctl.conf
- 验证NX/DEP生效：CPU需支持No-eXecute位，且内核启动参数含noexec=on（多数现代发行版默认开启）
- 检查栈保护内核配置：zcat /proc/config.gz | grep STACKPROTECTOR 应显示CONFIG_STACKPROTECTOR_STRONG=y
cgroups v2 内存围栏：防止单点失控拖垮整机
即使程序本身无漏洞，资源耗尽也会引发连锁故障。cgroups v2提供硬性约束：
- 为关键服务创建专属cgroup：mkdir /sys/fs/cgroup/critical-app
- 设硬上限防OOM：echo 1G > memory.max，超出即杀该cgroup内进程
- 设软水位预警：echo 800M > memory.high，触发内核积极回收，避免突然OOM
- 绑定服务进程：echo $PID > /sys/fs/cgroup/critical-app/cgroup.procs
