将对象图转换为 YAML 格式数据的 YAML 序列化库可能包括重新从 YAML 流重构对象所需的元数据。 如果攻击者可以指定要重构的对象类，并能够强制应用程序运行具有用户控制数据的任意资源库，则在 YAML 流的反序列化期间，他们也许能够执行任意代码。

示例： 以下示例使用 YamlDotNet 解析器对不受信任的 YAML 字符串进行反序列化。

    var yamlString = getYAMLFromUser();

    // Setup the input
    var input = new StringReader(yamlString);

    // Load the stream
    var yaml = new YamlStream();
    yaml.Load(input);

将对象图转换为 YAML 格式数据的 YAML 序列化库可能包括重新从 YAML 流重构对象所需的元数据。 如果攻击者可以指定要重构的对象类，并能够强制应用程序运行具有用户控制数据的任意资源库，则在 YAML 流的反序列化期间，他们也许能够执行任意代码。

示例 1： 以下示例使用不安全的 YAML 解析器对不受信任的 YAML 字符串进行反序列化。

var yaml = require('js-yaml');

var untrusted_yaml = getYAMLFromUser();
yaml.load(untrusted_yaml) 

将对象图转换为 YAML 格式数据的 YAML 序列化库可能包括重新从 YAML 流重构对象所需的元数据。 如果攻击者可以指定要重构的对象类，并能够强制应用程序运行具有用户控制数据的任意资源库，则在 YAML 流的反序列化期间，他们也许能够执行任意代码。

示例 1： 以下示例使用不安全的 YAML 加载器对不受信任的 YAML 字符串进行反序列化。

import yaml

yamlString = getYamlFromUser()
yaml.load(yamlString)

Format string 漏洞会在以下情况下发生：

1. 数据从不可信赖的数据源进入应用程序。



2. 数据作为 format string 参数传送到某个函数，如 sprintf()、FormatMessageW()、syslog()、NSLog 或 NSString.stringWithFormat示例 1：下面的代码将命令行参数作为 NSString.stringWithFormat: 中的 format string。

int main(int argc, char **argv){
	char buf[128];
	...
	[NSString stringWithFormat:argv[1], argv[2] ];
}

该代码允许攻击者查看堆栈的内容，并使用包含一连串的格式化指令的命令行参数损坏堆栈。攻击者能够通过提供更多的格式化指令（如 %x）来读取堆栈中的内容，然后函数会作为即将格式化的参数使用。（在本例中，函数没有采用任何即将格式化的参数。）

Objective-C 支持旧版 C 语言的标准库，因此如果您的应用程序使用 C API，则可以使用以下示例。

示例 2：有些实现方式通过提供格式化指令来控制内存中的读写位置，这样可以简化较高级的攻击。以下代码就是这种指令的一个例子，它为 glibc 而写：

	printf("%d %d %1$d %1$d\n", 5, 9);

该代码产生了如下输出：

5 9 5 5

此外，还可以使用 half-writes (%hn) 来准确地控制内存中的任意 DWORDS，这会大大地降低执行攻击的难度，否则此攻击将需要进行四次交错写入，如Example 1 中所述。

示例 3：简单的 format string 漏洞通常由表面上看似没有什么危险的快捷方式所导致。某些快捷方式的使用已经深入人心，以致于程序员可能都不会意识到他们所使用的函数需要一个 format string 参数。

例如，syslog() 函数有时候可以这样使用：

	...
	syslog(LOG_ERR, cmdBuf);
	...

由于 syslog() 的第二个参数是格式字符串，因此 cmdBuf 中的任何格式化指令都会按照Example 1 中所述进行解释。

以下代码显示了 syslog() 的正确使用方式：

	...
	syslog(LOG_ERR, "%s", cmdBuf);
	...

示例 4：Apple 核心类提供了利用 format string 漏洞的有趣途径。

例如，String.stringByAppendingFormat() 函数有时候可以这样使用：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:[MyClass
	formatInput:inputControl.text]];
	...

stringByAppendingFormat 会解析传递给它的 NSString 中包含的任意 format string 字符。

以下代码显示了 stringByAppendingFormat() 的正确使用方式：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:@"%@", [MyClass
	formatInput:inputControl.text]];
	...

常用电子表格处理器（如 Apache OpenOffice Calc 和 Microsoft Office Excel）支持的公式运算非常强大，这可能会使攻击者控制电子表格而在底层系统上运行任意命令或在电子表格上泄漏敏感信息。

例如，攻击者可能会将以下有效负载作为 CSV 字段的一部分注入：=cmd|'/C calc.exe'!Z0。如果打开电子表格的用户信任文档来源，他们可能就会接受电子表格处理器提供的所有安全提示信息，并使此有效负载（此处为打开 Windows 计算器）在其系统上运行。

示例：以下示例显示使用未经检查的用户控制数据生成 CSV 响应的 ASP.NET 控制器：

        public void Service()
        {
             string name = HttpContext.Request["name"];

             string data = GenerateCSVFor(name);
             HttpContext.Response.Clear();
             HttpContext.Response.Buffer = true;
             HttpContext.Response.AddHeader("content-disposition", "attachment;filename=file.csv");
             HttpContext.Response.Charset = "";
             HttpContext.Response.ContentType = "application/csv";
             HttpContext.Response.Output.Write(tainted);
             HttpContext.Response.Flush();
             HttpContext.Response.End();
        }

常用电子表格处理器（如 Apache OpenOffice Calc 和 Microsoft Office Excel）支持的公式运算非常强大，这可能会使攻击者控制电子表格而在底层系统上运行任意命令或在电子表格上泄漏敏感信息。

例如，攻击者可能会将以下有效负载作为 CSV 字段的一部分注入：=cmd|'/C calc.exe'!Z0。如果打开电子表格的用户信任文档来源，他们可能就会接受电子表格处理器提供的所有安全提示信息，并使此有效负载（此处为打开 Windows 计算器）在其系统上运行。

示例：以下示例使用未经检查的用户控制数据写入 csv 文件：

    func someHandler(w http.ResponseWriter, r *http.Request){
        r.parseForm()
        foo := r.FormValue("foo")
        ...
        w := csv.NewWriter(file)
        w.Write(foo)
    }

常用电子表格处理器（如 Apache OpenOffice Calc 和 Microsoft Office Excel）支持的公式运算非常强大，这可能会使攻击者控制电子表格而在底层系统上运行任意命令或在电子表格上泄漏敏感信息。

例如，攻击者可能会将以下有效负载作为 CSV 字段的一部分注入：=cmd|'/C calc.exe'!Z0。如果打开电子表格的用户信任文档来源，他们可能就会接受电子表格处理器提供的所有安全提示信息，并使此有效负载（此处为打开 Windows 计算器）在其系统上运行。

示例：以下示例展示了使用未经检查的用户控制数据生成 CSV 响应的 Spring 控制器：

    @RequestMapping(value = "/api/service.csv")
    fun service(@RequestParam("name") name: String): ResponseEntity<String> {
        val responseHeaders = HttpHeaders()
        responseHeaders.add("Content-Type", "application/csv; charset=utf-8")
        responseHeaders.add("Content-Disposition", "attachment;filename=file.csv")
        val data: String = generateCSVFor(name)
        return ResponseEntity(data, responseHeaders, HttpStatus.OK)
    }