Warum ist printf mit einem einzigen Argument (ohne Konvertierungsbezeichner) veraltet?

Question 1

In einem Buch, das ich gerade lese, steht das geschrieben printf mit einem einzelnen Argument (ohne Konvertierungsbezeichner) ist veraltet. Es empfiehlt sich zu ersetzen

printf("Hello World!");

mit

puts("Hello World!");

oder

printf("%s", "Hello World!");

Kann mir jemand sagen warum printf("Hello World!"); ist falsch? Im Buch steht geschrieben, dass es Schwachstellen enthält. Was sind diese Schwachstellen?

Question 2

printf("Hello World!"); ist IMHO nicht anfällig, aber bedenken Sie Folgendes:

const char *str;
...
printf(str);

Wenn str zeigt zufällig auf eine Zeichenfolge, die enthält %s Formatbezeichner zeigt Ihr Programm ein undefiniertes Verhalten (meistens einen Absturz), während puts(str) zeigt die Zeichenfolge einfach so an, wie sie ist.

Beispiel:

printf("%s");   //undefined behaviour (mostly crash)
puts("%s");     // displays "%s\n"

Question 3

printf("Hello world");

ist in Ordnung und hat keine Sicherheitslücke.

Das Problem liegt bei:

printf(p);

wo p ist ein Zeiger auf eine Eingabe, die vom Benutzer gesteuert wird. Es ist anfällig für Format-Strings-Angriffe: Benutzer kann Konvertierungsspezifikationen einfügen, um die Kontrolle über das Programm zu übernehmen, z. %x Speicher ausleeren bzw %n Speicher zu überschreiben.

Beachten Sie, dass puts("Hello world") ist im Verhalten nicht gleichbedeutend mit printf("Hello world") aber zu printf("Hello world\n"). Compiler sind normalerweise schlau genug, um den letzteren Aufruf zu optimieren, um ihn durch zu ersetzen puts.

Question 4

Weiter zu den anderen Antworten, printf("Hello world! I am 50% happy today") ist ein leicht zu machender Fehler, der möglicherweise alle möglichen fiesen Speicherprobleme verursacht (es ist UB!).

Es ist einfach einfacher, einfacher und robuster, von Programmierern absolute Klarheit zu „verlangen“. wenn sie eine wörtliche Zeichenfolge und sonst nichts wollen.

Und das ist was printf("%s", "Hello world! I am 50% happy today") bekommt dich. Es ist absolut idiotensicher.

(Steve natürlich printf("He has %d cherries\n", ncherries) ist absolut nicht dasselbe; In diesem Fall ist der Programmierer nicht in der Denkweise “wörtliche Zeichenfolgen”. sie ist in der “Formatzeichenfolge”-Denkweise.)

Question 5

Ich füge nur ein paar Informationen hinzu bezüglich der Schwachstelle Teil hier.

Es soll wegen der Schwachstelle im printf-String-Format anfällig sein. In Ihrem Beispiel, in dem die Zeichenfolge fest codiert ist, ist sie harmlos (auch wenn das Festcodieren solcher Zeichenfolgen niemals vollständig empfohlen wird). Es ist jedoch eine gute Angewohnheit, die Typen der Parameter anzugeben. Nehmen Sie dieses Beispiel:

Wenn jemand anstelle eines regulären Strings ein Format-String-Zeichen in Ihr printf einfügt (z. B. wenn Sie das Programm stdin drucken möchten), nimmt printf alles, was er kann, auf den Stapel.

Es wurde (und wird immer noch) häufig verwendet, um Programme auszunutzen, um Stapel zu durchsuchen, um beispielsweise auf versteckte Informationen zuzugreifen oder die Authentifizierung zu umgehen.

Beispiel (C):

int main(int argc, char *argv[])
{
    printf(argv[argc - 1]); // takes the first argument if it exists
}

wenn ich als Eingang dieses Programms setze "%08x %08x %08x %08x %08x\n"

printf ("%08x %08x %08x %08x %08x\n");

Dies weist die printf-Funktion an, fünf Parameter aus dem Stack abzurufen und sie als 8-stellige aufgefüllte Hexadezimalzahlen anzuzeigen. Eine mögliche Ausgabe könnte also so aussehen:

40012980 080628c4 bffff7a4 00000005 08059c04

Sehen Dies für eine vollständigere Erklärung und andere Beispiele.

Question 6

Das ist ein falscher Rat. Ja, wenn Sie eine Laufzeitzeichenfolge zum Drucken haben,

printf(str);

ist ziemlich gefährlich, und Sie sollten immer verwenden

printf("%s", str);

sondern weil man im Allgemeinen nie wissen kann, ob str könnte ein enthalten % Schild. Wenn Sie jedoch eine Kompilierzeit haben Konstante String, daran ist überhaupt nichts auszusetzen

printf("Hello, world!\n");

(Unter anderem ist das das klassischste C-Programm aller Zeiten, buchstäblich aus dem C-Programmierbuch von Genesis. Also ist jeder, der diese Verwendung ablehnt, ziemlich ketzerisch, und ich für meinen Teil wäre etwas beleidigt!)

Question 7

Berufung printf mit wörtlichen Formatzeichenfolgen ist sicher und effizient, und es gibt Tools, die Sie automatisch warnen, wenn Ihr Aufruf von printf mit vom Benutzer bereitgestellten Formatzeichenfolgen ist unsicher.

Die schwersten Angriffe auf printf nutzen Sie die %n Formatbezeichner. Im Gegensatz zu allen anderen Formatbezeichnern, z %d, %n schreibt tatsächlich einen Wert an eine Speicheradresse, die in einem der Formatargumente angegeben ist. Dies bedeutet, dass ein Angreifer den Speicher überschreiben und so möglicherweise die Kontrolle über Ihr Programm übernehmen kann. Wikipedia
bietet mehr Details.

Wenn Sie anrufen printf Mit einer wörtlichen Formatzeichenfolge kann ein Angreifer a nicht einschleichen %n in Ihren Formatstring und Sie sind somit auf der sicheren Seite. Tatsächlich ändert gcc Ihren Anruf in printf in einen Anruf zu putsalso gibt es buchstäblich keinen Unterschied (testen Sie dies durch Ausführen gcc -O3 -S).

Wenn Sie anrufen printf Mit einer vom Benutzer bereitgestellten Formatzeichenfolge kann ein Angreifer möglicherweise a %n in Ihren Formatstring und übernehmen Sie die Kontrolle über Ihr Programm. Ihr Compiler wird Sie normalerweise warnen, dass sein Compiler unsicher ist, siehe
-Wformat-security. Es gibt auch fortgeschrittenere Tools, die sicherstellen, dass ein Aufruf von printf ist sogar mit vom Benutzer bereitgestellten Formatzeichenfolgen sicher, und sie könnten sogar überprüfen, ob Sie die richtige Anzahl und den richtigen Typ von Argumenten übergeben
printf. Beispielsweise gibt es für Java Fehleranfällig von Google
und die Checker-Framework.

Question 8

Ein ziemlich unangenehmer Aspekt von printf ist, dass selbst auf Plattformen, auf denen das Lesen des Streuspeichers nur begrenzten (und akzeptablen) Schaden anrichten könnte, eines der Formatierungszeichen, %n, bewirkt, dass das nächste Argument als Zeiger auf eine schreibbare Ganzzahl interpretiert wird, und bewirkt, dass die Anzahl der bisher ausgegebenen Zeichen in der dadurch identifizierten Variablen gespeichert wird. Ich habe diese Funktion nie selbst verwendet, und manchmal verwende ich leichte Methoden im printf-Stil, die ich geschrieben habe, um nur die Funktionen einzuschließen, die ich tatsächlich verwende (und diese oder ähnliches nicht einzuschließen), sondern die erhaltenen Standardzeichenfolgen von printf-Funktionen zu füttern aus nicht vertrauenswürdigen Quellen können Sicherheitslücken offenlegen, die über die Fähigkeit hinausgehen, beliebigen Speicher zu lesen.