tombkeeper
2018-04-11 20:31
美国有个著名的军火商，叫孩之宝。这个公司很厉害，变形金刚都是他们发明的。所以我给小孩买了一支他们生产的步枪。下单后卖家告诉我说很抱歉不能发货，因为枪是不能发往北京的。
图片描述 by gemini-3-flash-preview
tombkeeper
2018-04-11 19:36
川普：勿谓言之不预也 //@来去之间:汗，打仗还带预告的，妥妥的通俄。。。
tombkeeper
2018-04-11 12:25
@Laruence 昨天修复了 PHP 的一个 Bug：网页链接。
char buf[128];
int wrote;
wrote = snprintf(buf, 128, "Could not translate address '%s'", addr);
buf[wrote] = '\0';
这个问题非常有代表性，是典型的由于程序员对函数特性了解不够造成的。
实际上 snprintf 的相关安全问题比这个例子中表现出来的更复杂。因为 snprintf 不是 C 标准中的函数，但各家编译器又各自做了实现。早期版本 VC 中的 _snprintf 并不完全等同于 snprintf。比如对 snprintf(buf, 4, "%s", "ABCD")，_snprintf 会向缓冲区写入"ABCD"，但 snprintf 会写入“ABC\0”。另外，_snprintf 和 snprintf 对返回值处理也不同。当格式化后的字符串长度大于第二形参指定的长度时，_snprintf 会返回 -1，而 snprintf 会返回格式化后的字符串所需要的缓冲区大小。
这就可能导致某些程序在原始开发平台下没问题，但移植到别的系统上时简单地把 _snprintf 和 snprintf 互换就会产生漏洞。（所以上面这个 Bug 也许是一个 Windows 程序员犯的错误——然而即使如此也应该是 buf[wrote-1] = '\0' 啊）
也正由于 _snprintf 和 snprintf 的这些细节差异，上面提到的这个 Bug 在 snprintf 下是有可能实现利用的，反倒是对 _snprintf 则利用的可能性很小。这一点就不细说了。你们可以试试：写一个包含这个 Bug 的小程序，对其实现漏洞利用执行 Shellcode。
char buf[128];
int wrote;
wrote = snprintf(buf, 128, "Could not translate address '%s'", addr);
buf[wrote] = '\0';
这个问题非常有代表性，是典型的由于程序员对函数特性了解不够造成的。
实际上 snprintf 的相关安全问题比这个例子中表现出来的更复杂。因为 snprintf 不是 C 标准中的函数，但各家编译器又各自做了实现。早期版本 VC 中的 _snprintf 并不完全等同于 snprintf。比如对 snprintf(buf, 4, "%s", "ABCD")，_snprintf 会向缓冲区写入"ABCD"，但 snprintf 会写入“ABC\0”。另外，_snprintf 和 snprintf 对返回值处理也不同。当格式化后的字符串长度大于第二形参指定的长度时，_snprintf 会返回 -1，而 snprintf 会返回格式化后的字符串所需要的缓冲区大小。
这就可能导致某些程序在原始开发平台下没问题，但移植到别的系统上时简单地把 _snprintf 和 snprintf 互换就会产生漏洞。（所以上面这个 Bug 也许是一个 Windows 程序员犯的错误——然而即使如此也应该是 buf[wrote-1] = '\0' 啊）
也正由于 _snprintf 和 snprintf 的这些细节差异，上面提到的这个 Bug 在 snprintf 下是有可能实现利用的，反倒是对 _snprintf 则利用的可能性很小。这一点就不细说了。你们可以试试：写一个包含这个 Bug 的小程序，对其实现漏洞利用执行 Shellcode。