Format String

攻击者可以控制 format string，发起类似于缓冲区溢出的攻击。

Format string 漏洞会在以下情况下发生：

1. 数据从不可信赖的数据源进入应用程序。



2. 数据作为 format string 参数传送到某个函数，如 sprintf()、FormatMessageW()、syslog()、NSLog 或 NSString.stringWithFormat示例 1：下面的代码将命令行参数作为 NSString.stringWithFormat: 中的 format string。

int main(int argc, char **argv){
	char buf[128];
	...
	[NSString stringWithFormat:argv[1], argv[2] ];
}

该代码允许攻击者查看堆栈的内容，并使用包含一连串的格式化指令的命令行参数损坏堆栈。攻击者能够通过提供更多的格式化指令（如 %x）来读取堆栈中的内容，然后函数会作为即将格式化的参数使用。（在本例中，函数没有采用任何即将格式化的参数。）

Objective-C 支持旧版 C 语言的标准库，因此如果您的应用程序使用 C API，则可以使用以下示例。

示例 2：有些实现方式通过提供格式化指令来控制内存中的读写位置，这样可以简化较高级的攻击。以下代码就是这种指令的一个例子，它为 glibc 而写：

	printf("%d %d %1$d %1$d\n", 5, 9);

该代码产生了如下输出：

5 9 5 5

此外，还可以使用 half-writes (%hn) 来准确地控制内存中的任意 DWORDS，这会大大地降低执行攻击的难度，否则此攻击将需要进行四次交错写入，如Example 1 中所述。

示例 3：简单的 format string 漏洞通常由表面上看似没有什么危险的快捷方式所导致。某些快捷方式的使用已经深入人心，以致于程序员可能都不会意识到他们所使用的函数需要一个 format string 参数。

例如，syslog() 函数有时候可以这样使用：

	...
	syslog(LOG_ERR, cmdBuf);
	...

由于 syslog() 的第二个参数是格式字符串，因此 cmdBuf 中的任何格式化指令都会按照Example 1 中所述进行解释。

以下代码显示了 syslog() 的正确使用方式：

	...
	syslog(LOG_ERR, "%s", cmdBuf);
	...

示例 4：Apple 核心类提供了利用 format string 漏洞的有趣途径。

例如，String.stringByAppendingFormat() 函数有时候可以这样使用：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:[MyClass
	formatInput:inputControl.text]];
	...

stringByAppendingFormat 会解析传递给它的 NSString 中包含的任意 format string 字符。

以下代码显示了 stringByAppendingFormat() 的正确使用方式：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:@"%@", [MyClass
	formatInput:inputControl.text]];
	...