格式化漏洞：为什么程序会“听错指令“？

任何编程语言和软件项目，亦或硬件设备，都会存在安全漏洞，人性亦不会例外！

没有绝对的安全，任何安全，都是相对的！漏洞会永远存在！只有漏洞利用成本的高低！

本文章仅提供学习，切勿将其用于不法手段！

一、格式化函数：程序的"购物清单"

1.1 正常工作原理

想象程序有个"购物清单"（格式化字符串），告诉它如何整理数据：

• ​正常清单​：printf("姓名：%s，年龄：%d", "张三", 25);
• ​工作流程​：按清单顺序取数据（先取字符串"张三"，再取数字25）

​关键设计​：

• 使用%s表示字符串，%d表示数字等格式符号
• 数据按清单顺序从内存中提取

1.2 漏洞触发条件

当程序把用户输入直接作为清单时：

char user_input[100];
scanf("%s", user_input);  // 用户输入可控
printf(user_input);       // 漏洞点：用户成了清单制定者

攻击者可以输入：

姓名：%s，年龄：%d.%08x.%08x.%08x

这就像在清单里夹带私货，让程序做危险操作

二、漏洞原理：把"购物清单"变"黑客指令"

2.1 信息窃取（读内存）

通过特殊符号读取内存内容：

• %x：读取4字节数据（像翻抽屉找东西）
• %p：读取内存地址（像查房间号）
• %s：读取字符串（像偷看邻居家的信）

​示例攻击​：
输入AAAA%x.%x.%x.%x，可能输出：

AAAA7f7f0041.ff000000.8048560.41414141

其中41414141就是攻击者输入的AAAA，说明成功读取了内存

2.2 数据篡改（写内存）

利用%n符号实现内存写入：

• %n：把已输出的字符数写入指定地址
• 示例输入：\xef\xbe\xad\xde%6$n（把239字符数写入地址0xdeadbeef）

​危险操作​：

• 修改密码验证标志（把0改成1）
• 篡改程序跳转地址（让程序执行恶意代码）

三、渗透测试：模拟黑客攻击

3.1 攻击准备

• ​探测内存布局​：

  # 生成探测字符串
  python -c 'print("A"*100 + "%08x."*10)'

• ​定位关键地址​：
  通过崩溃时的内存地址，找到存放密码验证结果的位置

3.2 构造攻击载荷

payload = b"\xef\xbe\xad\xde"  # 目标地址（密码验证标志）
payload += b"%6$n"             # 第6个参数位置写入数据

3.3 实战案例

某登录程序漏洞：

• 输入框限制16字符，但后台使用printf(user_input)
• 攻击者输入：

  admin%08x.%08x.%08x.%08x

• 输出显示内存中存有密码校验标志（0x00000000）
• 构造输入覆盖该标志为0x00000001，绕过验证

四、防御指南：保护你的"购物清单"

4.1 预防措施

• ​严格使用固定清单​：

  // 正确做法：用户输入作为参数而非清单
  printf("%s", user_input);

• ​安全函数替代​：

  // 使用限制长度的函数
  snprintf(buffer, sizeof(buffer), "%s", input);

• ​编译防护​：

  # 开启安全编译选项
  gcc -Wformat-security -D_FORTIFY_SOURCE=2 program.c

4.2 检测工具

• ​内存监控​：Valgrind检测异常内存访问

  valgrind --leak-check=full ./程序

• ​地址随机化​：让攻击者难以定位关键地址

  echo 2 > /proc/sys/kernel/randomize_va_space

4.3 企业级防护

1. ​输入过滤​：拦截含%的特殊字符（需注意绕过可能）
2. ​日志审计​：记录所有格式化函数调用
3. ​沙箱测试​：在隔离环境测试输入边界
4. ​代码扫描​：使用静态分析工具检测风险代码

---

​总结​：格式化漏洞就像把购物清单交给陌生人，可能被用来偷看隐私或篡改商品价格。防御要做到：

1. ​不信任用户输入​（永远不把用户输入当清单）
2. ​使用安全工具​（安全函数+编译防护）
3. ​定期检查​（内存监控+日志审计）

就像超市收银员不会让顾客自己写购物清单，程序员也不该让攻击者控制格式化字符串。记住：安全来自每个细节的谨慎处理！

注​：所有技术研究需遵循《网络安全法》及《数据安全法》相关规定，践行合法合规的网络安全技术探索。

提示：最有效的防御办法，是让攻击者由于攻击成本过高，而主动放弃针对目标进行攻击！

没有攻不破的城墙，只有 由于 付出成本 远超于 收获价值 而 选择 主动放弃 攻击行为 的 敌人 ！

警告：任何渗透测试行为，都必须在合法合规的法律框架下进行！任何未经合法授权的渗透测试行为，都是违法的！任何未经合法授权的渗透测试行为，都是违法的！任何未经合法授权的渗透测试行为，都是违法的！重要的事情，说三遍 ！！！