了解 sprintf(...) 的危险

Question

OWASP 说：

“C 库函数，例如 strcpy ()、strcat()、sprintf() 和 vsprintf () 对以 null 结尾的字符串进行操作 并且不执行边界检查。”

sprintf将格式化数据写入字符串 int sprintf ( char * str, const char * format, ... );

示例：

sprintf(str, "%s", message); // assume declaration and 
                             // initialization of variables

如果我理解 OWASP 的注释，那么使用 sprintf 的危险在于

1) if message's length > str 的长度，存在缓冲区溢出

，并且

2) 如果 message 不以 \0 空终止，则 message< /strong> 可能会被复制到超出 message 内存地址的 str 中，从而导致缓冲区溢出，

请确认/拒绝。谢谢

Answer 1

您在这两个问题上都是正确的，尽管它们实际上都是同一个问题（即访问超出数组边界的数据）。

第一个问题的解决方案是使用 std::snprintf< /code>，它接受缓冲区大小作为参数。

第二个问题的解决方案是为 snprintf 提供最大长度参数。例如：

char buffer[128];

std::snprintf(buffer, sizeof(buffer), "This is a %.4s\n", "testGARBAGE DATA");

// std::strcmp(buffer, "This is a test\n") == 0

如果您想存储整个字符串（例如，在 sizeof(buffer) 太小的情况下），请运行 snprintf 两次：（

int length = std::snprintf(nullptr, 0, "This is a %.4s\n", "testGARBAGE DATA");

++length;           // +1 for null terminator
char *buffer = new char[length];

std::snprintf(buffer, length, "This is a %.4s\n", "testGARBAGE DATA");

您可以将其放入使用 va 或可变参数模板的函数。）

Answer 2

你的两种说法都是正确的。

还有一个没有提到的问题。没有对参数进行类型检查。如果格式字符串和参数不匹配，可能会导致未定义和不良行为。例如：

char buf[1024] = {0};
float f = 42.0f;
sprintf(buf, "%s", f);  // `f` isn't a string.  the sun may explode here

这对于调试来说可能特别麻烦。

上述所有内容使许多 C++ 开发人员得出这样的结论：永远不应该使用 sprintf 及其同类。事实上，您可以使用一些工具来避免上述所有问题。其中一个，流，是内置于该语言中的：

#include <sstream>
#include <string>

// ...

float f = 42.0f;

stringstream ss;
ss << f;
string s = ss.str();

...对于像我一样仍然喜欢使用 sprintf 的人来说，另一个流行的选择来自 boost 格式库：

#include <string>
#include <boost\format.hpp>

// ...

float f = 42.0f;
string s = (boost::format("%1%") %f).str();

您应该采用“永远不要使用 sprintf”的口头禅吗？自己决定吧。通常有一个最适合这项工作的工具，根据您正在做的事情，sprintf 可能就是它。

Answer 3

是的，这主要是缓冲区溢出的问题。然而，这些现在是相当严重的事情，因为缓冲区溢出是系统破解者用来规避软件或系统安全的主要攻击媒介。如果您将类似的内容暴露给用户输入，那么您很有可能将程序（甚至计算机本身）的密钥交给了破解者。

从 OWASP 的角度来看，假设我们正在编写一个 Web 服务器，并使用 sprintf 来解析浏览器传递给我们的输入。

现在，假设有人恶意向我们的网络浏览器传递了一个远大于我们选择的缓冲区所能容纳的字符串。他的额外数据将覆盖附近的数据。如果他将其设置得足够大，他的一些数据将通过网络服务器的指令而不是其数据进行复制。现在他可以让我们的网络服务器执行他的代码。

Answer 4

你的 2 个结论是正确的，但不完整。

还有一个额外的风险：

char* format = 0;
char buf[128];
sprintf(buf, format, "hello");

这里，format 不是 NULL 终止的。 sprintf() 也不检查这一点。

Answer 5

你的解释似乎是正确的。然而，你的情况 #2 并不是真正的缓冲区溢出。这更多的是内存访问冲突。虽然这只是术语，但这仍然是一个大问题。

Answer 6

sprintf 函数与某些格式说明符一起使用时，会带来两种类型的安全风险：(1) 写入不应写入的内存； (2)读内存不应该。如果 snprintf 与与缓冲区匹配的大小参数一起使用，则它不会写入任何不应该写入的内容。根据参数的不同，它可能仍然会读取不应该读取的内容。根据操作环境和程序正在执行的其他操作，不当读取造成的危险可能会或可能不会比不当写入造成的危险更严重。

Answer 7

记住 sprintf() 在每个字符串末尾添加 ASCII 0 字符作为字符串终止符非常重要。因此，目标缓冲区必须至少有 n+1 个字节（要打印单词“HELLO”，需要 6 字节缓冲区，而不是 5）

在下面的示例中，可能并不明显，但是在 2 字节中目标缓冲区，第二个字节将被 ASCII 0 字符覆盖。如果只为缓冲区分配 1 个字节，则会导致缓冲区溢出。

char buf[3] = {'1', '2'};
int n = sprintf(buf, "A");

另请注意，sprintf() 的返回值不包含空终止字符。在上面的示例中，写入了 2 个字节，但函数返回“1”。

在下面的示例中，类成员变量“i”的第一个字节将被 sprintf() 部分覆盖（在 32 位系统上）。

struct S
{
    char buf[4];
    int i;
};


int main()
{
    struct S s = { };
    s.i = 12345;

    int num = sprintf(s.buf, "ABCD");
    // The value of s.i is NOT 12345 anymore !

    return 0;
}

Answer 8

我几乎已经阐述了一个小例子，如何摆脱 sprintf 的缓冲区大小声明（当然，如果您打算这样做！）并且不涉及 snprintf 。 ...

注意：这是一个 APPEND/CONCATENATION 示例，请查看此处