c - 格式化字符串漏洞

Question

我有简单的 C 程序:

char user_input[100];
scanf("%s", user_input);
printf(user_input);

据我了解，这代表安全漏洞；例如输入一堆 %x 将打印出堆栈的内容。

但是如何打印选定的内存位置呢？

我读到:

\x10\x01\x48\x08_%08x.%08x.%08x.%08x.%08x|%s|

应该从 this paper 的位置 0x08480110 转储内存内容。但相反，它会将紧接着的 4 个字节打印到堆栈上的格式字符串中。我试图理解为什么。

Answer 1

格式字符串本身将位于堆栈上(正如您已将 user_input 声明为局部变量一样)。因此，如果您将堆栈走得足够远(这是 %08x 强制 printf 执行的操作)，那么您最终将到达格式字符串的开头。 %s 告诉 printf 从堆栈中读取地址，然后打印在该位置找到的字符串。因此它读取格式字符串的前 4/8 个字节，并将它们用作地址。

当然，要使其发挥作用，您需要确切地知道要读取堆栈多远才能命中格式字符串。所以你可能需要调整%08x的数量。

此外，用户在运行时输入 \x10 与源代码中包含 \x10 的字符串文字不同...