Format String

攻擊者可能控制格式字串引數，讓攻擊更像是 Buffer overflow。

Format String 弱點會在以下情況中出現：

1.資料從不可信賴的來源進入應用程式。



2.資料作為 Format String 引數傳送到函數，如 sprintf()、FormatMessageW()、syslog()、NSLog或NSString.stringWithFormat範例 1：以下程式碼在 NSString.stringWithFormat: 中使用指令行引數作為格式字串。

int main(int argc, char **argv){
	char buf[128];
	...
	[NSString stringWithFormat:argv[1], argv[2] ];
}

這段程式碼允許攻擊者查看堆疊的內容，並使用包含一連串的格式化指示的指令行引數來毀損堆疊。攻擊者可能透過提供更多格式化指令 (例如 %x) 從堆疊讀取，然後函數會取得即將格式化的引數。(在此範例中，函數沒有取得即將格式化的引數。)

Objective-C 支援舊版 C 標準程式庫，因此如果您的應用程式使用的是 C API，就可以利用以下的範例。

範例 2：透過提供可控制記憶體中讀取或寫入位置的格式指令，某些實作甚至可以更輕鬆地執行更進階的攻擊。為 glibc 而寫的以下程式碼中顯示了這種指示的範例：

	printf("%d %d %1$d %1$d\n", 5, 9);

此程式碼會產生以下輸出：

5 9 5 5

使用 half-writes(%hn) 來準確地控制記憶體中任意的 DWORDS 的可能性同樣存在，這會大大地降低執行一次攻擊所必須的複雜度，如果不這樣，就會要求四條交錯的輸入，如 Example 1 中所提到的一樣。

範例 3：簡單的格式字串弱點經常是由於看似無害的捷徑。使用一些這樣的執行方式是非常地根深地固，以致於程式設計師可能都不會意識到他們所使用的函數需要一個 Format String 參數。

例如，syslog() 函數有時候以如下形式使用：

	...
	syslog(LOG_ERR, cmdBuf);
	...

因為 syslog() 的第二個參數是個 Format String，所以任何包含在 cmdBuf 內的格式化指令都會被解譯，如 Example 1 中所述。

以下程式碼顯示了 syslog() 的正確使用方式：

	...
	syslog(LOG_ERR, "%s", cmdBuf);
	...

範例 4：Apple 核心類別留下了危險的途徑，可藉此利用 Format String 弱點。

例如，String.stringByAppendingFormat() 函數有時候以如下形式使用：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:[MyClass
	formatInput:inputControl.text]];
	...

stringByAppendingFormat 將會解析任何傳來的 NSString 中的 Format String 字元。

以下程式碼顯示了 stringByAppendingFormat() 的正確使用方式：

	...
	NSString test = @"Sample Text.";
	test = [test stringByAppendingFormat:@"%@", [MyClass
	formatInput:inputControl.text]];
	...