【缺陷周话】第26期:被污染的格式化字符串

阅读量    56226 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

1、被污染的格式化字符串

格式化字符串函数可以接受可变数量的参数,函数的调用者可以自由的指定函数参数的数量和类型。常见的格式化字符串函数有: scanf、 printf、 fprintf、 vprintf、 vfprintf、 sprintf、 snprintf、 vsprintf、 vsnprintf 等等。当程序使用了格式化字符串作为参数,且该格式化字符串来自外部输入时,如果没有外部输入进行有效过滤,就有可能触发格式化字符串漏洞,本篇文章分析被污染的格式化字符串产生的原因及修复方法。详细请参见:CWE-134: Use of Externally-Controlled Format String。

 

2、 被污染的格式化字符串

直接将被污染的数据作为格式化字符串进行操作,由于污染数据内容的不确定性,可能导致格式化匹配混乱、解析错误甚至系统运行崩溃或者执行恶意代码。如在使用 printf() 函数时:

scanf("%s",str);printf(str);

这段代码的目的是输出字符串,但是由于这段字符串来源于被污染的数据,且直接使用了printf(str) 这种形式,就可能会把栈上的偏移当做数据输出。通过构造格式化字符串的方法,就可以实现任意地址的读或者写。

CVE中也有一些与之相关的漏洞信息,从2018年1月至2019年3月,CVE中就有11条相关漏洞信息。漏洞信息如下:

CVE 概述
CVE-2018-6875 KEY HODLERS KeepKey4.0.0 版本中存在格式化字符串漏洞。攻击者可利用该漏洞访问无权访问的信息。
CVE-2018-6317 ClaymoreDualMiner 是一款用于挖矿(虚拟货币计算)的 GPU 监控软件。ClaymoreDualMiner10.5 及之前版本中的远程管理界面存在未授权的格式化字符串漏洞。远程攻击者可利用该漏洞读取内存或造成拒绝服务。
CVE-2018-17336 udisks(前称DeviceKit-disks)是一个Linux系统上的系统服务,它主要用于列举出设备并提供设备相关的信息。 udisks2.8.0 版本中的 udiskslogging.c 文件的‘udisks_log’函数存在格式化字符串漏洞。攻击者可借助畸形的文件系统标签利用该漏洞获取敏感信息(栈内容)并造成拒绝服务(内存损坏)。
CVE-2018-15749 Pulse Secure Desktop 是美国 Pulse Secure 公司的一套用于访问 Juniper Pulse Secure 网关的终端设备的客户端软件。PulseSecure Desktop (macOS) 5.3R5 之前的 5.3RX 版本和9.0R1版本中存在格式化字符串漏洞。本地攻击者可利用该漏洞获取信息。

3、示例代码

示例源于Samate Juliet Test Suite for C/C++ v1.3 (https://samate.nist.gov/SARD/testsuite.php),源文件名:CWE134_Uncontrolled_Format_String__char_environment_fprintf_01.c。

3.1缺陷代码

在上述示例代码中,第42行使用 GETENV() 函数获取环境变量并使用 strncat() 函数读取环境变量信息至 data 中,在第51行使用 fprintf() 函数,没有明确指定格式说明符而直接使用了 data 数据,因此存在“被污染的格式化字符串”问题。

使用360代码卫士对上述示例代码进行检测,可以检出“被污染的格式化字符串”缺陷,显示等级为“高”。如图1所示:

图1:被污染的格式化字符串的检测示例

3.2 修复代码

在上述修复代码中,Samate 给出的修复方式为: 在第51行对 fprtinf() 函数的格式说明符进行了明确定义,从而避免了被污染的格式化字符串。

使用360代码卫士对修复后的代码进行检测,可以看到已不存在“被污染的格式化字符串”缺陷。如图2:

图2:修复后检测结果

 

4 、如何避免被污染的格式化字符串

(1)明确指定格式化说明符,避免来自被污染的数据作为格式化字符串。

(2)使用源代码静态分析工具,可以有效发现这类问题。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多