格式化字符串漏洞(Format String)

格式化字符串漏洞(Format String Vulnerability)是指程序在调用格式化输出类函数时,把来自用户的、可控的数据直接当作格式化字符串参数传入,导致攻击者能够通过精心构造的格式说明符读取或写入进程内存的安全缺陷,常见于C/C++等使用printf家族函数的底层程序。

概述

printf这类函数根据格式化字符串中的占位符,从栈或寄存器上依次取出对应参数进行输出。若开发者把用户输入直接作为格式化字符串,而不是放在固定格式的参数位置,攻击者就能在输入中夹带格式说明符,诱使函数按其意图去解析并访问本不该访问的内存位置。这类漏洞看似不起眼,却可能造成从信息泄露到完全控制程序的严重后果。

核心原理

攻击者利用不同的格式说明符达成不同目的:

• 用读取型说明符可以把栈上的数据逐个当作参数打印出来,泄露栈内容、返回地址或敏感变量。
• 用指向字符串的说明符可以读取任意内存地址处的字符串,造成信息泄露。
• 用一个特殊的写入型说明符可以把已输出的字符数写回到指定内存位置,从而实现对内存的改写。

通过组合这些手法,攻击者可以精确改写函数返回地址、全局偏移表条目等关键数据,进而劫持程序控制流,执行任意代码。防御的根本原则很简单:永远不要把用户输入当作格式化字符串,而应使用固定的格式串并把用户数据作为对应参数传入。现代编译器提供了相关警告选项,静态分析工具也能识别此类危险调用,帮助开发者在编码阶段及早发现问题。

应用场景

格式化字符串漏洞主要出现在用C/C++编写的服务程序、命令行工具和嵌入式固件中,尤其是处理日志输出、错误提示和用户消息的代码。历史上多款知名软件曾因此类漏洞被远程利用,它至今仍是二进制安全和CTF竞赛中的经典考点。

常见问题

问:如何一句话避免格式化字符串漏洞?答:把用户数据放到参数位置而不是格式串位置,即使用固定格式串加参数的写法,绝不将外部输入直接作为格式化字符串传给printf之类的函数。

问:高级语言也会有这个漏洞吗?答:大多数高级语言的字符串格式化机制设计更安全,不会直接从栈取参数,风险较低。但若语言底层封装了C函数或存在类似的格式解析逻辑,仍需警惕把用户输入当模板使用。