格式化字符串漏洞
利用 printf 格式字符串读取任意内存，并写入任意地址。
格式化字符串漏洞 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是格式字符串漏洞？
当用户输入被直接作为格式字符串参数传递给 printf() 或类似函数时，就会产生格式字符串漏洞。攻击者可以读取内存、泄露栈地址，并写入任意值。
存在漏洞的模式
存在漏洞的写法与安全写法：
// VULNERABLE - user controls the format string:
printf(user_input);
fprintf(stderr, user_input);
// SAFE - user input is a data argument:
printf("%s", user_input);使用 %x 和 %p 读取内存
没有对应参数的格式说明符会从栈上读取值：
# Input: %p.%p.%p.%p.%p
# Output: 0x7ffd12345678.0x400580.0x0.0x1.0x7f3a...
# Each %p prints the next value off the stack - leaking addresses!利用格式字符串泄露绕过 ASLR
栈中通常包含指向 libc、栈和二进制程序的指针。攻击者通过使用 %p 或 %lx 格式说明符泄露这些指针，就能计算基地址并击破 ASLR，即使不存在其他漏洞也可以做到。
使用 %s 读取任意内存
%s会将栈上的值视为指针，并打印该地址处的字符串。通过将目标地址放置在栈上的正确位置，再使用参数访问方式（%7$s），攻击者就能读取任意内存位置。
# Direct parameter access:
printf("%7$s") # prints string at 7th stack parameter
# If 7th param is an address you control, reads that memory使用 %n 写入内存
%n会将截至目前已打印的字符数写入对应参数所指向的地址。这允许攻击者向任意地址写入受控值，从而可能覆盖函数指针或返回地址。
实用写入技术
使用 %n 写入特定值：
- 控制栈上的一个指针，使其指向目标地址
- 使用
%Xc%N$n写入 X 个字符，然后将计数值写入第 N 个参数（目标地址）
pwntools 等工具可以自动构造格式字符串漏洞利用。
查找格式字符串漏洞
测试格式字符串漏洞：
# Test inputs:
%x.%x.%x
%p.%p.%p
%s%s%s
AAAA.%p.%p.%p.%p (looking for 0x41414141 in output)
# Automated testing with fuzzer:
python3 -c "print('%p.' * 20)" | ./vuln防御：修复代码
修复非常简单：始终将用户输入作为数据参数传入，绝不要将其作为格式字符串。
// WRONG:
printf(buffer);
// RIGHT:
printf("%s", buffer);
// Compiler warning:
// gcc -Wformat-security will flag this其他语言中的格式字符串
许多语言中都会出现格式字符串漏洞：
- C：
printf(input) - Python：并非同一种情况——但使用字典输入进行
%格式化可能暴露变量 - Java：
String.format(input)— 风险较低，不会访问内存
现实世界中的示例
格式字符串漏洞曾影响：
- ProFTPD — 通过 FTP 命令实现远程代码执行
- WU-FTPD — 通过格式字符串实现远程 root 漏洞利用
- 21 世纪前的各种 Linux 守护进程
现代编译器和 FORTIFY_SOURCE 有所帮助，但无法完全消除这类漏洞。
快速检查：格式字符串
在格式字符串攻击中，哪种格式说明符可用于向任意内存地址写入数据？
课程回顾
当用户输入被直接用作 printf 格式字符串时，就会产生格式字符串漏洞。%p/%x 会泄露栈内存；%s 会读取任意地址；%n 会写入任意地址。修复只需添加一个字符：printf("%s", input)。在编译器选项中启用 -Wformat-security，即可检测这类问题。
常见问题解答
「格式化字符串漏洞」课时是免费的吗？
是的 — 「格式化字符串漏洞」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「格式化字符串漏洞」这节课中我会学到什么？
利用 printf 格式字符串读取任意内存，并写入任意地址。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「格式化字符串漏洞」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 栈缓冲区溢出
- 面向返回的编程（ROP）
- 格式化字符串漏洞
- 堆利用：释放后使用与堆喷射