Format String

ABSTRACT

攻擊者可以控制 format string，發起類似于緩沖區溢出的攻擊。

EXPLANATION

Format string 漏洞會在以下情況下發生：

1. 數據從不可信賴的數據源進入應用程序。



2. 數據作為 format string 參數傳送到某個函數，如 sprintf()、FormatMessageW()、syslog()、NSLog 或 NSString.stringWithFormat


例 1：下面的代碼將命令行參數作為 NSString.stringWithFormat: 中的 format string。

int main(int argc, char** argv) {
	char buf[128];
	...
	[NSString stringWithFormat:argv[1], argv[2] ];
}

該代碼允許攻擊者查看堆棧的內容，并使用包含一連串的格式化指令的命令行參數損壞堆棧。攻擊者能夠通過提供更多的格式化指令（如 %x）來讀取堆棧中的內容，然后函數會作為即將格式化的參數使用。（在本例中，函數沒有采用任何即將格式化的參數。）

Objective-C 支持舊版 C 語言的標準庫，因此如果您的應用程序使用 C API，則可以使用以下示例。

例 2：有些實現方式通過提供格式化指令來控制內存中的讀寫位置，這樣可以簡化較高級的攻擊。以下代碼就是這種指令的一個例子，它為 glibc 而寫：

	printf("%d %d %1$d %1$d\n", 5, 9);

該代碼產生了如下輸出：

5 9 5 5

同樣可以使用 half-writes(%hn) 來準確地控制內存中任意的 DWORDS，這會大大地降低執行攻擊所需要的難度，如果不這樣，就會要求四條交錯的寫入，如例 1 中所提到的那樣。

例 3：簡單的 format string 漏洞通常由表面上看似沒有什么危險的快捷方式所導致。某些快捷方式的使用已經深入人心，以致于程序員可能都不會意識到他們所使用的函數需要一個 format string 參數。

例如，syslog() 函數有時候以如下形式使用：

	...
syslog(LOG_ERR, cmdBuf);
	...

因為 syslog() 的第二個參數是一個 format string，任何包含在 cmdBuf 內的格式化指令都會按照例 1 中的方式進行解析。

以下代碼顯示了 syslog() 的一種正確的使用方式：

	...
	syslog(LOG_ERR, "%s", cmdBuf);
...

例 4：Apple 核心類提供了利用 format string 漏洞的有趣途徑。

例如，String.stringByAppendingFormat() 函數有時候可以這樣使用：

	...
NSString test = @"Sample Text.";
test = [test stringByAppendingFormat:[MyClass
formatInput:inputControl.text]];
	...

stringByAppendingFormat 會解析傳遞給它的 NSString 中包含的任意 format string 字符。

以下代碼顯示了 stringByAppendingFormat() 的正確使用方式：

	...
NSString test = @"Sample Text.";
test = [test stringByAppendingFormat:@"%@", [MyClass
formatInput:inputControl.text]];
	...

REFERENCES

[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A5 Buffer Overflow

[2] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3510 CAT I, APP3560 CAT I

[3] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3510 CAT I, APP3560 CAT I

[4] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 134

[5] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Format String Attack

[6] T. Newsham Format String Attacks Guardent, Inc.

[7] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.3.1.1

[8] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.2

[9] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.5

[10] Standards Mapping - SANS Top 25 2011 - (SANS Top 25 2011) Risky Resource Management - CWE ID 134

97av