perl - 在 Perl 中，用户提供的格式说明符总是安全的吗？

Question

我想为用户提供编写他们自己的格式说明符的权限。我知道在一些像 C 这样的语言中有一个 format specifier attack .

是否存在针对 Perl 中的格式说明符的攻击以调用 sprintf 等函数并允许用户提供格式说明符？

在这个例子中，你能在 $unsafe_data 中设计任何在 Perl 中不安全的东西吗？

return sprintf($unsafe_data, $internal_value);

Answer 1

可能会产生不良影响。

• %n 可用于修改参数。

• 可以生成长字符串。

  可能会导致性能问题。可能导致残酷终止。

• 可以生成警告。

  噪音。如果警告是致命的则异常(exception)。

• 可以更改标量的内部表示(例如，通过使用 %d 格式化 "abc")。

  可能无害，但可能会产生微妙的影响。