菜鸟PWN手进阶之格式化字符串

一、格式化字符串相关函数

fprintf --prints to a FILE stream
printf  --prints to the 'stdout' stream

二、格式化字符串常见语法

（一）常见格式

%d-打印signed int
%u-打印unsigned int
%s-打印参数地址处的字符串
%x-打印hex形式的整数
%p-打印指针，即void*

（二）控制打印长度

%<正整数n>c 打印宽度为n的字符串（打印长度为n）
举例：

printf("%10c",0x41);
打印A，宽度为10，因此A前面会填充9个空格，打印效果如下：(*号代表空格)
*********A

（三）关于%n、%hn、%hhn

%n将当前已打印字符的个数（四字节）写入参数地址处
%hn写入2字节
%hhn写入1字节
举例：

printf("%10c%n",0x41,0x41414141);
打印9个空格加上1个A，所以会往0x41414141处写入10（4字节）
打印字符：*********A
printf("%1337c%hhn",0x41,0x804a000);
因为1337=0x539，往地址0x804a000处写入1字节0x39。

（四）关于$符号

%<正整数n>$指定占位符对应第n个参数

例如%12$x，此处%x对应第12个参数

举例：print("0x%2$x:0x%1$x\n",0xdeadbeef,0xcafebabe);
当中的%2$x对应第二个参数，%1$x对应第一个参数
打印结果：0xcafebabe:0xdeadbeef

（五）参数不足的情况：

如果printf的参数不足，会发生什么：
会假设这些参数的存在，在对应的栈/寄存器上找到这些参数，并做打印出来，造成栈上的信息泄露
参数不足情况:
32位:函数调用时参数在栈:格式化字符可以泄漏栈上数据
64位:函数调用使用寄存器+栈:格式化字符可以泄漏特定寄存器和栈上的值

（六）漏洞形成原因

本身printf("%s",a)这是安全正确的写法，若有人偷懒写成printf(a)，而且参数a用户还可以输入，这样导致用户可以规定字符串的格式。而printf函数比较傻用户输入%x，会去从栈上找值输出也就导致栈上的值泄露，利用%n向以栈上的值为位置写入当前输出的字符串的个数。