Format String

ABSTRACT

允許攻擊者控制函數的 format string 會導致 buffer overflow 。

EXPLANATION

當允許攻擊者能夠控制函數的 format string 參數時（如函數 sprintf()、FormatMessageW() 或 syslog()），就會出現 Format string 漏洞。

例 1：以下代碼使用 snprintf() 將一個命令行參數復制到緩沖區中。


int main(int argc, char** argv) {
	char buf[128];
	...
	snprintf(buf,128,argv[1]);
}

該代碼允許攻擊者查看堆棧的內容，并使用包含一連串的格式化指令的命令行參數對堆棧進行寫入。攻擊者能夠通過提供更多的格式化指令（如 %x）來讀取堆棧中的內容，然后函數會作為即將格式化的參數使用。（在本例中，函數沒有采用任何即將格式化的參數。）通過使用 %n 格式化指令，攻擊者能夠對堆棧進行寫入，進而使 snprintf() 記下迄今為止輸出的字節數，并將其傳送給指定的參數（而不是直接從參數中讀取數值，這是程序員最初設計的行為）。對于這種攻擊，更為的復雜的形式是使用四條交錯的寫入來完全控制堆棧中某個指針的值。

例 2：有些實現方式通過提供格式化指令來控制內存中的讀寫位置，這樣可以簡化較高級的攻擊。以下代碼就是這種指令的一個例子，它為 glibc 而寫：


	printf("%d %d %1$d %1$d\n", 5, 9);

該代碼產生了如下輸出：


5 9 5 5

同樣可以使用 half-writes(%hn) 來準確地控制內存中任意的 DWORDS，這會大大地降低執行攻擊所需要的難度，如果不這樣，就會要求四條交錯的寫入，如例 1 中所提到的那樣。

例 3：簡單的 format string 漏洞通常由表面上看似沒有什么危險的快捷方式所導致。某些快捷方式的使用已經深入人心，以致于程序員可能都不會意識到他們所使用的函數需要一個 format string 參數。

例如，syslog() 函數有時候以如下形式使用：


	...
syslog(LOG_ERR, cmdBuf);
	...

因為 syslog() 的第二個參數是一個 format string，任何包含在 cmdBuf 內的格式化指令都會按照例 1 中的方式進行解析。

以下代碼顯示了 syslog() 的一種正確的使用方式：


	...
	syslog(LOG_ERR, "%s", cmdBuf);
...

REFERENCES

[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A5 Buffer Overflow

[2] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3510 CAT I, APP3560 CAT I

[3] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3510 CAT I, APP3560 CAT I

[4] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3510 CAT I, APP3590.1 CAT I

[5] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3510 CAT I, APP3590.1 CAT I

[6] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Buffer Overflow

[7] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 134

[8] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 787, CWE ID 120, CWE ID 129, CWE ID 131

[9] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Format String Attack

[10] T. Newsham Format String Attacks Guardent, Inc.

[11] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.3.1.1

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.2

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.5

[14] Standards Mapping - SANS Top 25 2009 - (SANS 2009) Risky Resource Management - CWE ID 119

[15] Standards Mapping - SANS Top 25 2010 - (SANS 2010) Risky Resource Management - CWE ID 120, Risky Resource Management - CWE ID 129, Risky Resource Management - CWE ID 131

[16] Standards Mapping - SANS Top 25 2011 - (SANS Top 25 2011) Risky Resource Management - CWE ID 120, Risky Resource Management - CWE ID 131

[17] Standards Mapping - SANS Top 25 2011 - (SANS Top 25 2011) Risky Resource Management - CWE ID 134

97av