格式化字符串漏洞

最新推荐文章于 2024-04-09 14:41:37 发布

da1234cao

最新推荐文章于 2024-04-09 14:41:37 发布

阅读量2.6k

点赞数 2

分类专栏： # 计算机安全文章标签：格式化字符串漏洞

本文链接：https://blog.csdn.net/sinat_38816924/article/details/106286674

版权

计算机安全专栏收录该内容

21 篇文章 9 订阅

订阅专栏

前言

来源：《Computer Security》A Hands-on Approach — Wenliang Du

这次是我们之前比较熟悉的格式化字符串。《c语言现代方法》第三章，用了一个词，“模式匹配”。

从最开始的printf("hello world.") ，这个函数被我们使用了很多遍。

但它从安全的角度来看，还能下面这么用。

文章目录

摘要与总结

格式化字符串漏洞，可以用来打印内存内容，修改允许修改的指定地址内存内容，比如栈区域。（其他区域能否修改不知道。比如代码段是不能被写入的）

查看内容：也许，会查看到有秘密的信息。
修改指定内存内容的缺点在于，修改何处的内容：即使没有地址随机化，没有参照，我很难知道返回地址的确切内存位置。

参数个数可变

很久之前，我好奇，printf这个函数是如何做到，参数个数可变？

首先，不可能是重载。C语言还不支持重载吧。

当后来看到函数的参数传递的时候，我似乎知道那么一丢丢了。

可以参考：C 可变参数

🥒 照葫芦画瓢，大概会用就好，暂时可以不追究细节。

/**
 * 参数个数可变
*/

#include <stdio.h>
#include <stdarg.h>

void myprintf(int narg, ...){

    va_list ap;

    /*指针向后移动narg类型的长度，指向第一个参数*/
    va_start(ap,narg);
    for (int i = 0; i < narg; i++){
        printf("%d ",va_arg(ap,int));/*返回一个int型参数，指针向后移动int类型的长度，指向下一个参数*/
        printf("%.2f ",va_arg(ap,double));/*返回一个int型参数，指针向后移动double类型的长度，指向下一个参数*/
    }
    va_end(ap);/*干啥的*/
}

int main(void){
    myprintf(2,2,2.5,3,3.5);
    myprintf(1,0,3.4);
    return 0;
}

printf函数

我不太懂汇编，底层的内容我也看不了。我们简单看下。

先来估计下：它的原型可能是这样的：printf(format,...)。format中字符正常打印，当遇到以%开头的转换说明的时候，从参数中模式匹配出一个参数，打印出来，直到format结束。

如果再追问一步，是如何打印出来的？

我不知道，估摸着是调用更细粒度的打印函数，中间估计有系统调用，毕竟和硬件相关。

函数原型

我们首先找到函数原型。

# /usr/include/x86_64-linux-gnu/bits/stdio2.h
__fortify_function int
printf (const char *__restrict __fmt, ...)
{
  return __printf_chk (__USE_FORTIFY_LEVEL - 1, __fmt, __va_arg_pack ());
}

一眼望过去，好像“熟人”不多。const我不介绍了，它用来限制字符串不能被修改。可以加的地方都加上，多多益善。
__restrict，和restrict 有点像。估计不是同一个，也是亲戚。我们看下restrict 。这玩意叫受限指针。它告诉编译器，所有修改该指针所指向内存中内容的操作都必须通过该指针来修改,而不能通过其它途径(其它变量或指针)来修改;

可以参考《C语言程序设计现代方法》17.8节；或者参考：C语言中restrict关键字学习
__fortify_function ，干啥的不知道。我们之前见过fortify 在这里linux程序的常用保护机制

fority其实非常轻微的检查，用于检查是否存在缓冲区溢出的错误。适用情形是程序采用大量的字符串或者内存操作函数，如memcpy，memset，stpcpy，strcpy，strncpy，strcat，strncat，sprintf，snprintf，vsprintf，vsnprintf，gets以及宽字符的变体。
__printf_chk，可能是printf？

我搜到了这个，似乎作用不大：__printf_chk

源码被编译到动态库中，看不到源码，得去找下源码。

首先我们得知道，我的系统使用什么C库版本？

在这里插入图片描述

我们下载源码The GNU C Library (glibc)

我们可以看到如下所示：

#include <stdarg.h>
#include <libio/libioP.h>


/* Write formatted output to stdout from the format string FORMAT.  */
int
___printf_chk (int flag, const char *format, ...)
{
  /* For flag > 0 (i.e. __USE_FORTIFY_LEVEL > 1) request that %n
     can only come from read-only format strings.  */
  unsigned int mode = (flag > 0) ? PRINTF_FORTIFY : 0;
  va_list ap;
  int ret;

  va_start (ap, format);
  ret = __vfprintf_internal (stdout, format, ap, mode);
  va_end (ap);

  return ret;
}
ldbl_strong_alias (___printf_chk, __printf_chk)

#include <libioP.h>
#include <stdarg.h>
#include <stdio.h>

#undef printf

/* Write formatted output to stdout from the format string FORMAT.  */
/* VARARGS1 */
int
__printf (const char *format, ...)
{
  va_list arg;
  int done;

  va_start (arg, format);
  done = __vfprintf_internal (stdout, format, arg, 0);
  va_end (arg);

  return done;
}

#undef _IO_printf
ldbl_strong_alias (__printf, printf);
ldbl_strong_alias (__printf, _IO_printf);