よくCTFなどで書式化文字列攻撃をするときに%4$x
というような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか?
書式文字列攻撃について解説したこのページでも出てきています
"%n$x"という表記によって、n+1番目の引数があるべき位置の値を表示することもできる。これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。
よくCTFなどで書式化文字列攻撃をするときに%4$x
というような文字列をprintfで渡したりしますが、この書式化文字列でのドルマークの意味はどういったものでしょうか?
書式文字列攻撃について解説したこのページでも出てきています
"%n$x"という表記によって、n+1番目の引数があるべき位置の値を表示することもできる。これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。
POSIX仕様です。%4$x
は可変引数の4番目の引数を参照することを指示します。
これでスタックの先の方も覗けるし、何番目の書式指定文字か気にする必要が無くなる。
は脆弱な環境での話で、POSIX仕様上は
When numbered argument specifications are used, specifying the Nth argument requires that all the leading arguments, from the first to the (N-1)th, are specified in the format string.
と指摘されています。そもそもC言語の可変引数では各引数が何バイトになるか不明なため、(N-1)th
までの引数が使われていないことにはNth
の正確なアドレスは決定できません。(K&R C仕様から不明な引数はint
と見なすべき…という考え方もできなくはない?)
ちなみにVisual C++ですが、$
形式はPOSIX仕様でありC言語仕様ではないため、printf
系関数はこの機能をサポートしていません。ただし、全く使えないわけではなく、全てのprintf
系関数に対応するprintf_p
関数が用意されていて、こちらのバージョンを使用することで$
形式を使用できます。
適切な回答がついていますので蛇足です。長くなったのでコメントでなく回答としておきます。
$
は posix による拡張なので c99 (ISO/IEC 9899:1999) では定義されていません。そのため非 posix な環境、たとえば Visual C とか組み込み系コンパイラ(の stdio ライブラリ)では $
をサポートしていません。
提示リンク先にある %n
のほうは標準です( c99 に記載あり)。
ですが安全性確保のため Visual C ではデフォルト状態では使えないようになっています。
https://msdn.microsoft.com/ja-jp/library/hf4y5e3w.aspx
同様 c11 では %n
を削除した printf_s
が追加されています。互換性確保のため printf
から %n
を削除することはできなかったらしい。
https://www.buildinsider.net/language/clang/02