标签：
格式化字符串漏洞由于目前编译器的默认禁止敏感格式控制符，而且容易通过代码审计中发现，所以此类漏洞极少出现，一直没有笔者本人的引起重视。最近捣鼓pwn题，遇上了不少，决定好好总结了一下。
格式化字符串漏洞最早被Tymm Twillman在1999年发现，当时并未引起重视。在tf8的一份针对wu-ftpd格式化字符串漏洞实现任意代码执行的漏洞的报告之后（详情可参阅 《黑客攻防技术宝典-系统实战篇》），才让人们意识到它的危害，至此而发现了大量的相关漏洞。
格式化字符串漏洞的产生根源主要源于对用 户输入未进行过滤，这些输入数据都作为数据传递给某些执行格式化操作的函数，如printf，sprintf，vprintf，vprintf。恶意用户 可以使用"%s","%x"来得到堆栈的数据，甚至可以通过"%n"来对任意地址进行读写，导致任意代码读写。
//正确的使用方式test1 main() { printf("%x",1); } //错误的使用方式test2 main() { printf("%x") } //导致漏洞test3 main(int argc,char * argv[]) { printf(argv[1]) }
如果可以对printf(如test3)内进行任意输入，将会是一件很糟糕的事情。将会导致彻底的系统威胁。
在说明原理之前，先介绍几个格式控制符：
%d 用于读取10进制数值
%x 用于读取16进制数值
%s 用于读取字符串值
%n 用于讲当前字符串的长度打印到var中，例 printf（"test %hn",&var[其中var为两个字节]） printf（"test %n",&var[其中var为一个字节]）
具体原理：当printf在输出格式化字符串的时候，会维护一个内部指针，当printf逐步将格式化字符串的字符打印到屏幕，当遇到%的时候，printf会期望它后面跟着一个格式字符串，因此会递增内部字符串以抓取格式控制符的输入值。这就是问题所在，printf无法知道栈上是否放置了正确数量的变量供它操作，如果没有足够的变量可供操作，而指针按正常情况下递增，就会产生越界访问。甚至由于%n的问题，可导致任意地址读写。
talk is simple，Let‘s show by code:
#include <stdlib.h> #include <unistd.h> #include <stdio.h> #include <string.h> int target; void printbuffer(char *string) { printf(string); } void vuln() { char buffer[512]; fgets(buffer, sizeof(buffer), stdin); printbuffer(buffer); if(target == 0x01025544) { printf("you have modified the target :)\n"); } else { printf("target is %08x :(\n", target); } } int main(int argc, char **argv) { vuln(); }
这份代码来自Protostar format3，编译取消所有保护措施。
在试图利用格式化字符串漏洞之前，你需要知道格式化字符串会在调用printf之前先压入堆栈中。所以当发现一个格式化字符串漏洞时，首先你需要找到格式化字符串距离当前位置的偏移
可以利用%08x进行查找，如图
#关于偏移值，可能会由于环境和程序名称的不同而不同，甚至会产生不处于4的倍数的位置，面对这种情况，可以通过在最前方加入垫子进行取整。
可以得到偏移值为12，然后尝试通过利用%12$x(这种使用方法可以直接省去前面11个%08x的使用)进行直接读取，如图
至此，可以通过使用%Nx(N为任意长度的十进制数字)来控制字符串长度，字符串长度为len(‘AAAA‘)+N,通过将长度写入到偏移地址中来进行对任意地址进行任意读写。其中若使用%hn，只需要进行两次写操作，可以节省时间，但会消耗极大的空间。而若使用%n，则需要进行4次读写，但可以节省空间，对此，由于部分环境下，由于可能对缓冲区长度有所限制，导致exploit失败，所以更加偏向于使用%n。
很多地址均为不可见字符串，所以利用python和管道讲之前代码进行转化。如图
现在，尝试target低位进行写操作，即0x80496f4进行读写（使用IDA或者gdb进行查看target地址），如图：
此时，对0x080496f5进行写操作，此时只需要在后面添加长度为0x55-0x44的字符串即可，同时，需要对%.64进行-4操作，对12的偏移值+1即如图：
对0x080496f6，0x080496f6进行操作，这个时候发现0x04-0x55为负数，无法继续下去，可以从上一位借1.如图
成功对任意地址进行了任意读写。当然，顺序进行读写由于借位可能对更高位产生影响，本题为0x080496f8。若想解决这个问题，可以尝试从最小的开始进行写，本体0x080496f7,0x080496f6,0x080494f4,0x080496f3。对于，%hn的使用，可以直接参照魔术公式（虽然，%n也可以总结出来魔术公式，但是就显的比直接写更加复杂了）。详情参照《灰帽黑客》第四版。
格式化字符串最近出现的频率极为稀少，较近的可能为CVE-2012-0809 sudo_debug格式化字符串漏洞，和CVE-2012-3569 VMware OVF Tool格式化字符串漏洞。分别处于windows和linux环境。
顺便讲一下选择那些地址进行读写：
主流的读写位置如下：
FINI_ARRAY区：程序初始化和结束需要经过这里，可以写这里的析构函数。
全局偏移表：
全局函数指针：
atexit处理函数：
堆栈值（主要指返回地址）：
虚表指针：
理论上只要程序在后面会调用的，可进行写操作的位置均可进行写，从而改变程序执行，进行成功的exploit
标签：
原文地址：http://www.cnblogs.com/0xJDchen/p/5904816.html
