le format de la chaîne de la vulnérabilité des printf

Je pense que le papier fournit à ses printf() exemples dans une certaine confusion parce que les exemples d'utilisation des littéraux de chaîne pour les chaînes de format, et ceux-ci ne sont généralement pas permis le type de vulnérabilité décrite. La chaîne de format, de la vulnérabilité décrite ici dépend de la chaîne de format fourni par l'utilisateur.

Donc l'exemple:

printf ("\x10\x01\x48\x08_%08x.%08x.%08x.%08x.%08x|%s|");

Pourraient être mieux présenté:

/* 
 * in a real program, some user input source would be copied 
 * into the `outstring` buffer 
 */
char outstring[80] = "\x10\x01\x48\x08_%08x.%08x.%08x.%08x.%08x|%s|";

printf(outstring);

Depuis le outstring tableau est une automatique, le compilateur va probablement mettre sur la pile. Après la copie de l'entrée de l'utilisateur à l' outstring tableau, ça va ressembler à ce qui suit comme des "mots" sur la pile (en supposant que little endian):

outstring[0c]               //etc...
outstring[08] 0x30252e78    //from "x.%0"
outstring[04] 0x3830255f    //from "_%08"
outstring[00] 0x08480110    //from the ""\x10\x01\x48\x08"

Le compilateur va mettre d'autres éléments sur la pile comme il l'entend (les autres variables locales, enregistrées les registres, peu importe).

Lorsque le printf() appel est sur le point d'être faite, la pile pourrait ressembler à:

outstring[0c]               //etc...
outstring[08] 0x30252e78    //from "x.%0"
outstring[04] 0x3830255f    //from "_%08"
outstring[00] 0x08480110    //from the ""\x10\x01\x48\x08"
var1
var2
saved ECX
saved EDI

Remarque que je suis complètement de la prise de ceux des entrées de haut - chaque compilateur utilisera la pile de différentes façons (donc une chaîne de format de la vulnérabilité doit être personnalisé conçu pour un scénario précis. En d'autres termes, vous n'aurez pas toujours l'utilisation de 5 factice spécificateurs de format comme dans cet exemple - que l'attaquant, vous aurez besoin de savoir combien de mannequins la vulnérabilité particulière aurait besoin.

D'appeler maintenant printf(), l'argument (l'adresse de outstring) est poussé sur la pile et printf() est appelé, de sorte que l'argument de la zone de la pile ressemble:

outstring[0c]               //etc...
outstring[08] 0x30252e78    //from "x.%0"
outstring[04] 0x3830255f    //from "_%08"
outstring[00] 0x08480110    //from the ""\x10\x01\x48\x08"
var1
var2
var3
saved ECX
saved EDI
&outstring   //the one real argument to `printf()`

Cependant, printf ne sais pas vraiment comment, de nombreux arguments ont été placés sur la pile pour cela, il va par les spécificateurs de format qu'il trouve dans la chaîne de format (le seul argument c'est " sûr " pour obtenir). Donc printf() obtient le format de l'argument de type string et commence à la traiter. Quand il arrive à la 1ère "%08x" qui correspondent à la "sauvé EDI" dans mon exemple, alors la prochaine "%08x" affichera la
enregistré ECX " et ainsi de suite. Ainsi, le "%08x" les spécificateurs de format sont juste de manger des données sur la pile jusqu'à ce qu'il obtient en retour de la chaîne de l'attaquant a été en mesure à l'entrée. De déterminer combien de personnes sont nécessaires est quelque chose d'un attaquant ferait par une sorte d'essai et d'erreur (probablement par l'exécution d'un test qui a toute une série de "%08x" formats jusqu'à ce qu'il peut "voir" où le format de chaîne de caractères commence).

De toute façon, quand printf() obtient le traitement de l' "%s" spécificateur de format, il a consommé toute la pile des entrées jusqu'à l'endroit où le outstring tampon réside. Le "%s" spécificateur de traite sa pile d'entrée comme un pointeur, et la chaîne de caractères que l'utilisateur a mis dans ce tampon a été soigneusement conçu pour avoir une représentation binaire de 0x08480110, donc printf() permet d'imprimer tout ce qui est à cette adresse comme une corde d'ASCIIZ.

OriginalL'auteur Michael Burr

Vous avez mal compris le papier.

Le texte est lié en supposant que la position courante sur la pile est 0x08480110 (voir le texte). Le printf() sera le vidage des données à partir de la mesure sur la pile, vous arrive d'être.

La \x10\x01\x48\x08 au début de la chaîne de format est simplement de les imprimer le (supposé) de l'adresse de sortie standard (stdout) en face de la sous-évaluées de données. En aucune façon ces numéros de modifier l'adresse à partir de laquelle les données sont sous-évaluées.

OriginalL'auteur DevSolar