Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

56 2 Programmieren mit Unix-Prozessen
Was ist passiert? Die printf()-Funktion interpretiert den ersten Parameter,
das ist in Beispiel 2.13 die eingelesene Zeichenkette, jeweils als Format-String.
Nachdem beim ersten Testlauf keine speziellen Umwandlungszeichen in der
übergebenen Zeichenkette vorhanden sind, liefert die printf()-Funktion die
gewünschte Ausgabe.
Im zweiten Testlauf befinden sich im Datenstrom der Standardeingabe allerdings
mehrere Umwandlungzeichen, die beim nachfolgenden Aufruf von
printf() im ersten Parameter landen. Die printf()-Funktion muß nun davon
ausgehen, daß ihr beim Aufruf weitere, zu den Umwandlungzeichen passende
Argumente übergeben wurden. 11 Funktionsargumente werden in C von
der aufrufenden Umgebung auf dem Stack abgelegt. Die Funktion nimmt daher
die durch die Art und Anzahl der Umwandlungzeichen bestimmten Werte
vom Stack, in unserem Beispiel sind das 16 Zeiger, die (vermeintlich) auf gültige
Zeichenketten im Adreßraum des Prozesses verweisen. Die geschieht völlig
unabhängig davon, ob beim Aufruf von printf() tatsächlich die erwartete
Anzahl von Argumenten hinterlegt wurde, oder nicht. Im Zweifelsfall werden
also Speicherbereiche des Stacks ausgewertet, die gar nicht für die aufgerufene
Funktion bestimmt sind.
Für die Ausgabe versucht die printf()-Funktion aus Beispiel 2.13 nun, die
16 Umwandlungszeichen %s durch Zeichenketten zu ersetzen. Dazu werden
nacheinander 16 Zeiger vom Stack gelesen. Die von diesen Zeigern referenzierten
Speicherbereiche werden Zug um Zug in die Ausgabe kopiert. Es ist dabei
allerdings recht wahrscheinlich, daß die vom Stack entnommenen Adressen
Speicherbereiche referenzieren, die außerhalb der für diesen Prozeß gültigen
Speichersegmente liegen (vgl. dazu Abschnitt 2.1.4). In einem solchen Fall
wird das Programm – wie oben zu sehen – mit einer Speicherschutzverletzung
(Segmentation Fault) abgebrochen.
Das Problem einer Format-String-Schwachstelle liegt also darin, daß ein Programm
die Kontrolle über die eingesetzten Format-Strings an seine Umgebung
abgibt. Dadurch wird es für die Anwender eines Programms möglich,
über Kommandozeilen-Argumente, Konfigurationsdateien oder durch Benutzereingaben
über die Kommandozeile oder das Netzwerk auf Format-Strings
Einfluß zu nehmen. Durch gezielte Einflußnahme kann dann eine aus Sicht des
Programmierers ungewollte Reaktion des Anwendungsprogramms provoziert
werden. Über Format-String-Schwachstellen lassen sich ganz bewußt
• Programme zum Absturz bringen
• Speicherwerte auslesen und manipulieren sowie
• Code-Fragmente in den Programmcode einschleusen und ausführen.
Das eingeschleuste Umwandlungszeichen %x kann z. B. dazu verwendet werden,
den aktuellen Stack des betroffenen Programms zu analysieren. Trifft
11 In C haben Funktionen mit variablen Argumentenlisten leider keine Handhabe
um festzustellen, mit wievielen Parametern sie tatsächlich aufgerufen wurden.