c - vsnprintf 为什么会导致格式字符串漏洞

Question

我有以下代码，并试图理解为什么 vsnprintf 会导致格式字符串漏洞。

如果我执行如下程序“./test %llx”，这个漏洞是否是因为“%llx”被传入va_list，然后被vsprintf解释，从而导致格式字符串出现漏洞？

#include <stdio.h>
#include <stdarg.h>

#define MAX_STRING_LENGTH 512

void cmd(char *dir)
{
    char errbuf[MAX_STRING_LENGTH+1];
    snprintf(errbuf, 512, "Error '%s'.\n", dir);
    puts("cmd: ");
    puts(errbuf);
    control_printf(2, errbuf);
}

void control_printf(char success, char *format, ...)
{
    char buffer[MAX_STRING_LENGTH];
    va_list val;
    va_start(val, format);
    puts("control_printf before vsnprintf: ");
    puts(format);
    vsnprintf(buffer, sizeof(buffer), format, val);
    va_end(val);
    puts("control_printf after vsnprintf: ");
    puts(buffer);
    fprintf(stderr, "%s\r\n", buffer);
}

int main(int argv, char **argc)
{
    cmd(argc[1]);
    return 0;
}

我该如何解决这个问题？

Answer 1

我真的不明白你想在这里完成什么，但该漏洞来自于让用户黑客提供格式字符串。然后，他可以提供%n，这会导致printf函数族写入内存(到目前为止写入的字节数)。

int answer = 42;
printf("Hello %nworld\n", &answer);
// "Hello " is 6 bytes long
printf(
    "The answer to the ultimate question of life, "
    "the universe and everything is: %i\n"
    , answer
);

将打印 6 作为答案，而不是 42。