什么是格式化字符串攻击？
format string attack
https://www.owasp.org/index.php/Format_string_attack
首先攻击发生在 格式化字符串所涉及的函数（例如 printf）， 其次用户输入字符串提交后作为格式化字符串参数执行。
攻击者可以执行代码， 读取栈空间、 写栈空间、 导致进行段错误（segment fault），或者导致其他的威胁到计算机安全和稳定性的新的行为。
举例子
正确例子，其中 "Bob %%x %%x" 是合法的输入。
#include#include #include #include #include #define snprintf _snprintfint main (int argc, char **argv){ char buf [100]; int x = 1; //snprintf ( buf, sizeof buf, "Bob %x %x" ) ; //bad snprintf ( buf, sizeof buf, "Bob %%x %%x" ) ; //good buf [ sizeof buf -1 ] = 0; printf ( "buf = %s\n", buf ); printf ( "Buffer size is: (%d) \nData input: %s \n" , strlen (buf) , buf ) ; printf ( "X equals: %d/ in hex: %#x\nMemory address for x: (%p) \n" , x, x, &x) ; return 0 ;}
输出
------ 分割线 ------
邪恶的例子， 输入 "Bob %x %x" 是非法的， 会导致snprintf函数继续读取栈数据
#include#include #include #include #include #define snprintf _snprintfint main (int argc, char **argv){ char buf [100]; int x = 1; snprintf ( buf, sizeof buf, "Bob %x %x" ) ; //bad //snprintf ( buf, sizeof buf, "Bob %%x %%x" ) ; //good buf [ sizeof buf -1 ] = 0; printf ( "buf = %s\n", buf ); printf ( "Buffer size is: (%d) \nData input: %s \n" , strlen (buf) , buf ) ; printf ( "X equals: %d/ in hex: %#x\nMemory address for x: (%p) \n" , x, x, &x) ; return 0 ;}
输出：
防格式化字符串攻击
1、 对于客户端提交过来的， 格式化字符串进行过滤， 将%删除， 破坏掉格式化字符串的形式。 缺点是改变客户端的提交数据完整性。但是可以保证此数据， 不管输出在格式化函数 或者 非格式化函数中， 都没有问题。
2、 对于客户端提交过来的， 格式化字符串进行转义， 对所有的%字符，前面都添加一个%， 可以保持客户端提交的数据完整性。 但是对于这种输入， 放在非格式化函数中， 会多出%。
| Parameters | Output | Passed as |
|---|---|---|
| %% | % character (literal) | Reference |
| %p | External representation of a pointer to void | Reference |
| %d | Decimal | Value |
| %c | Character | |
| %u | Unsigned decimal | Value |
| %x | Hexadecimal | Value |
| %s | String | Reference |
| %n | Writes the number of characters into a pointer | Reference |
3、 预防手段， 对于格式化字符串的函数， 在编码时候，需要100%注意不要将 客户端输入的 字符串作为格式化字符串， 更加严格写法， 只将常量字符串作为 格式化字符串， 即将需要的格式写死在程序中！！
附录格式化字符串涉及的函数
| fprint | Writes the printf to a file |
| printf | Output a formatted string |
| sprintf | Prints into a string |
| snprintf | Prints into a string checking the length |
| vfprintf | Prints the a va_arg structure to a file |
| vprintf | Prints the va_arg structure to stdout |
| vsprintf | Prints the va_arg to a string |
| vsnprintf | Prints the va_arg to a string checking the length |