5

よくCTFなどで書式化文字列攻撃をするときに%4$xというような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか?

書式文字列攻撃について解説したこのページでも出てきています

書式指定文字列攻撃

"%n$x"という表記によって、n+1番目の引数があるべき位置の値を表示することもできる。これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。

2 件の回答 2

10

POSIX仕様です。%4$xは可変引数の4番目の引数を参照することを指示します。

これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。

は脆弱な環境での話で、POSIX仕様上は

When numbered argument specifications are used, specifying the Nth argument requires that all the leading arguments, from the first to the (N-1)th, are specified in the format string.

と指摘されています。そもそもC言語の可変引数では各引数が何バイトになるか不明なため、(N-1)thまでの引数が使われていないことにはNthの正確なアドレスは決定できません。(K&R C仕様から不明な引数はintと見なすべき…という考え方もできなくはない?)


ちなみにVisual C++ですが、$形式はPOSIX仕様でありC言語仕様ではないため、printf系関数はこの機能をサポートしていません。ただし、全く使えないわけではなく、全てのprintf系関数に対応するprintf_p関数が用意されていて、こちらのバージョンを使用することで$形式を使用できます。

3

適切な回答がついていますので蛇足です。長くなったのでコメントでなく回答としておきます。

$ は posix による拡張なので (ISO/IEC 9899:1999) では定義されていません。そのため非 posix な環境、たとえば Visual C とか組み込み系コンパイラ(の stdio ライブラリ)では $ をサポートしていません。

提示リンク先にある %n のほうは標準です( に記載あり)。
ですが安全性確保のため Visual C ではデフォルト状態では使えないようになっています。
https://msdn.microsoft.com/ja-jp/library/hf4y5e3w.aspx
同様 では %n を削除した printf_s が追加されています。互換性確保のため printf から %n を削除することはできなかったらしい。
https://www.buildinsider.net/language/clang/02

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。