Nie można zrozumieć kodu użytego w łańcuchu formatu

Question

Natknąłem się na ten kod pokazujący wykorzystanie ciągu formatów podczas czytania artykułu this.

#include <stdio.h> 

int main(void) 
{ 
char secret[]="hack.se is lame"; 
char buffer[512]; 
char target[512]; 

printf("secret = %pn",&secret); 

fgets(buffer,512,stdin); 
snprintf(target,512,buffer); 
printf("%s",target); 
} 

Wykonanie go z następujących wejście

[root@knark]$ ./a.out 
secret = 0xbffffc68 
AAAA%x %x %x %x %x %x %x //Input given 
AAAA4013fe20 0 0 0 41414141 33313034 30326566 
- [root@knark]$ 

Co rozumiem do tej pory jest sekwencją %x „s będzie kontynuować drukowanie wartości w powyższych adresów prąd %esp (jestem zakładając, że stos jest rośnie w dół w kierunku niższego adresu).

Czego nie rozumiem, to dane wejściowe są przechowywane w tablicy buffer, która nie może być mniejsza niż 512 bajtów od bieżącego %esp. Tak więc, jak wyjście może zawierać 41414141 (reprezentacja heksadecymalna AAAA) tuż po 4 %x, tj. Tuż nad 4 adresami bieżącego %esp. Bardzo się starałem też wpatrywać w kod zespołu, ale myślę, że nie mogłem wykonać manipulacji łańcuchami na stosie.

Answer 1

Przy wjeździe do snprintf, stos ma następujący:

0xbfd257d0:  0xxxxxxxxx  0xxxxxxxxx  0xxxxxxxxx  0x080484d5 
0xbfd257e0:  0xbfd25800  0x00000200  0xbfd25a00  0x00000000 
0xbfd257f0:  0x00000000  0x00000000  0x00000000  0x00000000 
0xbfd25800:  0x00000000  0x00000040  0xb7f22f2c  0x00000000 
0xbfd25810:  0x00000000  0x00000000  0x00000000  0x00000000 

0xbfd25800 -> target (initially 0x00000000 0x00000040 ...) 
...  -> garbage 
0xbfd257e8 -> pointer to buffer 
0xbfd257e4 -> 512 
0xbfd257e0 -> pointer to target 
0xbfd257df -> return address 

target zostaje zastąpione w wyniku snprintf przed snprintf dostaje do wykorzystania jego słowa jako argumenty: Po raz pierwszy pisze „aaaa” (0x41414141) na 0xbfd25800, następnie "% x" odczytuje wartość przy 0xbfd257ec i zapisuje ją przy 0xbfd25804, ..., następnie "% x" odczytuje wartość przy 0xbfd25800 (0x41414141) i zapisuje ją przy 0xbfd25814, ...

Answer 2

Pierwsza z wszystko, spójrzmy na stos po wywołaniu snprintf():

Reading symbols from /home/blackbear/a.out...done. 
(gdb) run 
Starting program: /home/blackbear/a.out 
secret = 0xbffff40c 
ABCDEF%x %x %x %x %x %x %x 

Breakpoint 1, main() at prova.c:13 
13  printf("%s",target); 
(gdb) x/20x $esp 
0xbfffeff0: 0xbffff00c 0x00000200 0xbffff20c 0x00155d7c 
0xbffff000: 0x00155d7c 0x000000f0 0x000000f0 0x44434241 
0xbffff010: 0x35314645 0x63376435 0x35353120 0x20633764 
0xbffff020: 0x66203066 0x34342030 0x32343334 0x33203134 
0xbffff030: 0x34313335 0x20353436 0x37333336 0x35333436 
(gdb) 

Rzeczywiście możemy zobaczyć przy 0xbffff00c napis już sformatowany, więc sprintf() napisał właśnie tutaj. Możemy również zobaczyć, przy 0xbfffeff0, ostatni argument dla snprintf(): adres celu, który w rzeczywistości jest 0xbffff00c. Więc mogę wywnioskować, że łańcuchy są zapisywane od końca do początku ich przydzielonego miejsca na stosie, jak możemy również zobaczyć dodanie strcpy():

blackbear@blackbear-laptop:~$ cat prova.c 
#include <stdio.h> 
#include <string.h> 

int main(void) 
{ 
    char secret[]="hack.se is lame"; 
    char buffer[512]; 
    char target[512]; 

    printf("secret = %p\n", &secret); 

    strcpy(target, "ABCDEF"); 
    fgets(buffer,512,stdin); 
    snprintf(target,512,buffer); 
    printf("%s",target); 
} 
blackbear@blackbear-laptop:~$ gcc prova.c -g 
prova.c: In function ‘main’: 
prova.c:14: warning: format not a string literal and no format arguments 
prova.c:14: warning: format not a string literal and no format arguments 
blackbear@blackbear-laptop:~$ gdb ./a.out -q 
Reading symbols from /home/blackbear/a.out...done. 
(gdb) break 13 
Breakpoint 1 at 0x8048580: file prova.c, line 13. 
(gdb) run 
Starting program: /home/blackbear/a.out 
secret = 0xbffff40c 

Breakpoint 1, main() at prova.c:13 
13  fgets(buffer,512,stdin); 
(gdb) x/10x $esp 
0xbfffeff0: 0xbffff00c 0x080486bd 0x00000007 0x00155d7c 
0xbffff000: 0x00155d7c 0x000000f0 0x000000f0 0x44434241 
0xbffff010: 0x00004645 0x00000004 
(gdb) 

to jest to! Podsumowując, znaleźliśmy tam ciąg, ponieważ łańcuchy są przechowywane na stosie w odwrotny sposób, a początek (lub koniec?) Celu jest bliski esp.