PHP sprintf 被认为是有害的？

Question

几年前，我了解到 Format String Attacks在 C 中很难。现在，我最近看到了一些像这样的 PHP 代码:

<?php
echo sprintf($_GET['format'], $_GET['value1'], $_GET['value2']);

我试过像这样运行它，将 $_GET['format'] 设置为像 %s%s%s... 这样的字符串，但是 PHP 只存在于PHP 警告:sprintf():第 2 行 file.php 中的参数太少。是否仍然可以进行格式字符串攻击？

Answer 1

不是任何传统意义上的，如 PHP 的 sprintf不支持任何真正危险的转换，例如 %n。用户控制的格式字符串仍然会造成一些有限的破坏(考虑 %99999999s)，但我认为最坏的情况是消耗内存和时间。