desarrolladores utilizan la familia printf código de cadenas de formato o la salida de datos de control . El Código de familia printf incluye comandos como , todas las cuales los datos en formato fprintf , sprintf , pero vprintf y escribir a diferentes lugares. Errores de cadena de formato se producen cuando los desarrolladores olvidan de poner restricciones necesarias en el Código de familia printf . Los hackers pueden entrar en su propio código a través de estos códigos de restricción - libre, o lagunas , y secuestrar el código. El resultado, según los autores de " El Manual Shellcoders ," es que el secuestrador puede entonces ser capaz de ver la información privada y ejecutar código arbitrario.
Formato Fichas
formato corregir errores de cuerda puede ser indoloro , y el desarrollador de software sólo es necesario añadir una ficha formato como "% s " o "% x". Por ejemplo, el desarrollador puede introducir " printf ("% s " , entrada)" en la línea de comandos.
El token formato limita las entradas de formato y evita que los hackers ejecutar código malicioso a través de las lagunas existentes en el código de origen. Formato errores de cadena normalmente se producen cuando los programadores desarrollar código para programas grandes. Durante el desarrollo de código , los programadores pueden centrarse en el panorama general, y por lo tanto pasar por alto la cadena de formato. La cadena de formato no se controla entonces actúa como una ventana de oportunidad que el atacante puede utilizar para manipular el código.
Desbordamiento de buffer
Cadenas de formato también puede crear búfer problemas de desbordamiento . Cuando un programa excesos del límite de búfer durante la escritura de datos, se produce desbordamiento de buffer, y el programa puede sobrescribir memoria adyacente. Esta es una amenaza significativa en términos de seguridad de memoria de un programa . Problemas de desbordamiento de búfer se asocian a menudo con C y C + + idiomas . Los desarrolladores de programas deben asegurarse de revisar los límites de amortiguamiento de venta libre anomalías de desbordamiento de búfer . Cuando no existe un formato especificado para una función de tiempo de ejecución de C , cualquier código arbitrario puede ser ejecutado a través de la laguna se especifique . Dado que el código no puede conocer los límites de la memoria intermedia , que puede provocar un desbordamiento de búfer , y sobrescribir memoria.
Minimizar el riesgo
Puede evitar errores de cadena de formato por siguiendo algunas reglas básicas de la programación. Para reducir al mínimo los casos de errores de cadena de formantes , instalar sólo los servicios que necesita, y sólo permitir el acceso a estos servicios a personas de su grupo más confiable , de acuerdo con los autores de " Hack Proofing Your Network . " Recuerda siempre que especificar un formatear cadena en un comunicado " printf " . Si existen cadenas de formato personalizado en el código , tenga especial cuidado al escribir los privilegios de estas cadenas de formato autodefinidos .