c - sprintf 函数的缓冲区溢出？

Question

{     
    char buf[8];
    sprintf(buf,"AAAA%3s","XXXXXXXX");
    printf("%s\n",buf);
}

会发生什么？

缓冲区有 8 个字符的空间，只剩下 3 个空闲字符，但是，“XXXXXXXX”是 8 个字符长。

我在Windows 7上用Visual Studio 2008做了测试，结果程序打印AAAXXXXXXX，出现运行时错误。

Answer 1

考虑在您的案例中发生的事情以及更重要的是在类似案例中发生的事情很有意义。正如其他张贴者所指出的，它调用了 UB。这可能是真的。然而，世界并不会仅仅因为有人没有定义接下来究竟应该发生什么而停止。接下来发生的物理很可能是主要安全漏洞。

如果您的字符串 XXX... 来自不受控制的来源，那么您很可能会产生缓冲区溢出漏洞。

(1) 您的堆栈通常向后“增长”，即地址越小，堆栈填充得越多。

(2) 字符串希望存储属于该字符串的字符，以便字符 n+1 存储在 字符 n 之后。

(3) 当您调用一个函数时，返回地址，即函数返回后要执行的指令的地址，被压入堆栈(通常是在其他情况下)。

现在考虑函数的栈帧。

|----------------|
| buf [size 8]   |
|----------------|
| (func args)    |
|----------------|
| (other stuff)  |
|----------------|
| return address |
|----------------|

通过找出 buf 和堆栈上的返回地址之间的确切偏移量，恶意用户可能会以 XXX... 字符串包含攻击者在不受控制的 sprintf 函数将覆盖堆栈上的返回地址的位置选择的地址。 (注意:如果可用，最好使用 snprintf)。因此，攻击者安装了一个 buffer overflow攻击。他可能会使用类似 NOP sled technique 的东西让您的应用程序启动 shell为了他。如果您正在编写一个在特权用户帐户下运行的应用程序，那么您只是向攻击者提供了进入客户系统的一级入口，即 ACE。洞，如果你愿意的话。

更新

您遇到的运行时错误很可能是由于返回地址被覆盖所致。由于您基本上用 gargabe 填充了它，因此 CPU 跳转到的地址可能包含字节序列，这些字节序列被解释为程序文本，导致无效的内存访问(或者地址本身已经是错误的)。

应该注意的是，一些编译器可以帮助避免这些类型的错误。例如，GCC 具有 -fstack-protector。我不熟悉这些功能有多好。