tombkeeper 粉丝站

2018-04-11 12:25

@Laruence 昨天修复了 PHP 的一个 Bug：网页链接。

char buf[128];
int wrote;
wrote = snprintf(buf, 128, "Could not translate address '%s'", addr);
buf[wrote] = '\0';

这个问题非常有代表性，是典型的由于程序员对函数特性了解不够造成的。

实际上 snprintf 的相关安全问题比这个例子中表现出来的更复杂。因为 snprintf 不是 C 标准中的函数，但各家编译器又各自做了实现。早期版本 VC 中的 _snprintf 并不完全等同于 snprintf。比如对 snprintf(buf, 4, "%s", "ABCD")，_snprintf 会向缓冲区写入"ABCD"，但 snprintf 会写入“ABC\0”。另外，_snprintf 和 snprintf 对返回值处理也不同。当格式化后的字符串长度大于第二形参指定的长度时，_snprintf 会返回 -1，而 snprintf 会返回格式化后的字符串所需要的缓冲区大小。

这就可能导致某些程序在原始开发平台下没问题，但移植到别的系统上时简单地把 _snprintf 和 snprintf 互换就会产生漏洞。（所以上面这个 Bug 也许是一个 Windows 程序员犯的错误——然而即使如此也应该是 buf[wrote-1] = '\0' 啊）

也正由于 _snprintf 和 snprintf 的这些细节差异，上面提到的这个 Bug 在 snprintf 下是有可能实现利用的，反倒是对 _snprintf 则利用的可能性很小。这一点就不细说了。你们可以试试：写一个包含这个 Bug 的小程序，对其实现漏洞利用执行 Shellcode。