Dlaczego printf z jednym argumentem (bez specyfikatorów konwersji) jest przestarzały?

W książce, którą czytam, jest napisane, że printfpojedynczy argument (bez specyfikatorów konwersji) jest przestarzały. Zaleca się zastąpić

printf("Hello World!");

z

puts("Hello World!");

lub

printf("%s", "Hello World!");

Czy ktoś może mi powiedzieć, dlaczego printf("Hello World!");się myli? W książce jest napisane, że zawiera luki. Co to za luki?

printf("Hello World!"); czy IMHO nie jest wrażliwe, ale rozważ to:

const char *str;
...
printf(str);

Jeśli strzdarzy się, że wskaże łańcuch zawierający %sspecyfikatory formatu, Twój program będzie wykazywał niezdefiniowane zachowanie (głównie awarię), podczas gdy puts(str)po prostu wyświetli ciąg taki, jaki jest.

Przykład:

printf("%s");   //undefined behaviour (mostly crash)
puts("%s");     // displays "%s\n"

printf("Hello world");

jest w porządku i nie ma luki w zabezpieczeniach.

Problem polega na:

printf(p);

gdzie pjest wskaźnikiem do wejścia kontrolowanego przez użytkownika. Jest podatny na ataki typu string : użytkownik może wstawiać specyfikacje konwersji, aby przejąć kontrolę nad programem, np. W %xcelu zrzucenia pamięci lub%n nadpisania pamięci.

Zwróć na to uwagę puts("Hello world") w zachowaniu nie jest to równoważne z, printf("Hello world")ale z printf("Hello world\n"). Kompilatory są zwykle na tyle sprytne, aby zoptymalizować to drugie wywołanie i zastąpić je puts.

W nawiązaniu do innych odpowiedzi, printf("Hello world! I am 50% happy today") jest to łatwy błąd do zrobienia, potencjalnie powodujący wszelkiego rodzaju nieprzyjemne problemy z pamięcią (to UB!).

Po prostu prostsze, łatwiejsze i bardziej niezawodne jest „wymaganie” od programistów absolutnej jasności, gdy chcą otrzymać dosłowny ciąg znaków i nic więcej .

I to właśnie printf("%s", "Hello world! I am 50% happy today")cię dostaje. Jest całkowicie niezawodny.

(Steve, oczywiście, printf("He has %d cherries\n", ncherries)to absolutnie nie to samo; w tym przypadku programista nie jest nastawiony na „ciąg znaków”; jest w nastawieniu „ciąg formatu”).

Dodam tutaj tylko trochę informacji dotyczących części dotyczącej luki .

Mówi się, że jest podatny na atak z powodu luki w formacie ciągu printf. W twoim przykładzie, gdzie ciąg jest zakodowany na stałe, jest nieszkodliwy (nawet jeśli ciągi takie jak ten nie są w pełni zalecane). Ale określanie typów parametrów jest dobrym nawykiem. Weź ten przykład:

Jeśli ktoś umieści znak ciągu formatu w twoim printf zamiast zwykłego łańcucha (powiedzmy, jeśli chcesz wydrukować program stdin), printf weźmie wszystko, co tylko może na stosie.

Był (i nadal jest) bardzo używany do wykorzystywania programów do przeszukiwania stosów w celu uzyskania dostępu do ukrytych informacji lub na przykład ominięcia uwierzytelniania.

Przykład (C):

int main(int argc, char *argv[])
{
    printf(argv[argc - 1]); // takes the first argument if it exists
}

jeśli wstawię jako dane wejściowe tego programu "%08x %08x %08x %08x %08x\n"

printf ("%08x %08x %08x %08x %08x\n"); 

To instruuje funkcję printf, aby pobrać pięć parametrów ze stosu i wyświetlić je jako 8-cyfrowe wypełnione liczbami szesnastkowymi. Możliwe wyjście może wyglądać następująco:

40012980 080628c4 bffff7a4 00000005 08059c04

Zobacz to, aby uzyskać pełniejsze wyjaśnienie i inne przykłady.

Wywołanie printfprzy użyciu ciągów formatu literału jest bezpieczne i wydajne, a istnieją narzędzia, które automatycznie ostrzegają użytkownika, jeśli wywołanie printfciągów formatu dostarczonych przez użytkownika jest niebezpieczne.

Najpoważniejsze ataki printfwykorzystują specyfikator %nformatu. W przeciwieństwie do wszystkich innych specyfikatorów formatu, np %d, %nfaktycznie zapisuje wartość do pamięci adres podany w jednym z argumentów wielkoformatowych. Oznacza to, że osoba atakująca może nadpisać pamięć, a tym samym potencjalnie przejąć kontrolę nad Twoim programem. Wikipedia zawiera więcej szczegółów.

Jeśli wywołujesz printfz literalnym ciągiem formatu, osoba atakująca nie może wkraść się %ndo twojego ciągu formatu, a zatem jesteś bezpieczny. W rzeczywistości gcc zmieni twoje wywołanie printfna wywołanie do puts, więc nie ma żadnej różnicy ( sprawdź to uruchamiającgcc -O3 -S ).

Jeśli wywołujesz printfciąg formatu dostarczony przez użytkownika, osoba atakująca może potencjalnie wkraść się %ndo ciągu formatu i przejąć kontrolę nad Twoim programem. Twój kompilator zwykle ostrzega cię, że jego jest niebezpieczny, widzisz -Wformat-security. Istnieją również bardziej zaawansowane narzędzia, które zapewniają, że wywołanie programu printfjest bezpieczne nawet w przypadku ciągów formatu dostarczonych przez użytkownika, a nawet mogą one sprawdzać, czy przekazujesz odpowiednią liczbę i typ argumentów printf. Na przykład w przypadku Javy jest Google Error Prone i Checker Framework .

To jest błędna rada. Tak, jeśli masz do wydrukowania ciąg czasu wykonywania,

printf(str);

jest dość niebezpieczny i zawsze należy go używać

printf("%s", str);

zamiast tego, ponieważ generalnie nigdy nie wiadomo, czy strmoże zawierać %znak. Jeśli jednak masz ciąg znaków stałych czasu kompilacji , nie ma w tym nic złego

printf("Hello, world!\n");

(Między innymi jest to najbardziej klasyczny program w C, jaki kiedykolwiek powstał, dosłownie z książki Genesis o programowaniu w C. Więc każdy, kto potępia to użycie, jest raczej heretycki, a ja byłbym trochę obrażony!)

Raczej nieprzyjemnym aspektem printfjest to, że nawet na platformach, na których zabłąkane odczyty pamięci mogą spowodować tylko ograniczoną (i akceptowalną) szkodę, jeden ze znaków formatujących %npowoduje, że następny argument jest interpretowany jako wskaźnik do zapisywalnej liczby całkowitej i powoduje liczba wypisywanych dotychczas znaków, które mają być zapisane w zidentyfikowanej w ten sposób zmiennej. Nigdy sam nie korzystałem z tej funkcji, a czasami używam lekkich metod w stylu printf, które napisałem, aby zawierały tylko funkcje, których faktycznie używam (i nie zawierają tego ani niczego podobnego), ale dostarczają otrzymane standardowe ciągi funkcji printf z niewiarygodnych źródeł może ujawnić luki w zabezpieczeniach wykraczające poza możliwość odczytu dowolnej pamięci.

Ponieważ nikt o tym nie wspomniał, dodałbym uwagę dotyczącą ich wydajności.

W normalnych okolicznościach, zakładając, że nie są używane żadne optymalizacje kompilatora (tj. printf()Faktycznie wywołuje, printf()a nie fputs()), spodziewałbym printf()się działać mniej wydajnie, szczególnie w przypadku długich ciągów. Dzieje się tak, ponieważ printf()musi przeanalizować ciąg, aby sprawdzić, czy istnieją jakiekolwiek specyfikatory konwersji.

Aby to potwierdzić, przeprowadziłem kilka testów. Testowanie odbywa się na Ubuntu 14.04, z gcc 4.8.4. Mój komputer korzysta z procesora Intel i5. Testowany program wygląda następująco:

#include <stdio.h>
int main() {
    int count = 10000000;
    while(count--) {
        // either
        printf("qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM");
        // or
        fputs("qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM", stdout);
    }
    fflush(stdout);
    return 0;
}

Oba są kompilowane z gcc -Wall -O0. Czas mierzy się za pomocą time ./a.out > /dev/null. Poniżej przedstawiono wynik typowego przebiegu (uruchomiłem je pięć razy, wszystkie wyniki mieszczą się w ciągu 0,002 sekundy).

Dla printf()wariantu:

real    0m0.416s
user    0m0.384s
sys     0m0.033s

Dla fputs()wariantu:

real    0m0.297s
user    0m0.265s
sys     0m0.032s

Ten efekt jest wzmacniany, jeśli masz bardzo długą strunę.

#include <stdio.h>
#define STR "qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM"
#define STR2 STR STR
#define STR4 STR2 STR2
#define STR8 STR4 STR4
#define STR16 STR8 STR8
#define STR32 STR16 STR16
#define STR64 STR32 STR32
#define STR128 STR64 STR64
#define STR256 STR128 STR128
#define STR512 STR256 STR256
#define STR1024 STR512 STR512
int main() {
    int count = 10000000;
    while(count--) {
        // either
        printf(STR1024);
        // or
        fputs(STR1024, stdout);
    }
    fflush(stdout);
    return 0;
}

Dla printf()wariantu (uruchomiony trzykrotnie, rzeczywisty plus / minus 1,5 s):

real    0m39.259s
user    0m34.445s
sys     0m4.839s

Dla fputs()wariantu (uruchomiony trzykrotnie, rzeczywisty plus / minus 0,2 s):

real    0m12.726s
user    0m8.152s
sys     0m4.581s

Uwaga: Po sprawdzeniu zestawu wygenerowanego przez gcc zdałem sobie sprawę, że gcc optymalizuje fputs()wywołanie fwrite()wywołania, nawet z -O0. ( printf()Wywołanie pozostaje niezmienione.) Nie jestem pewien, czy spowoduje to unieważnienie mojego testu, ponieważ kompilator oblicza długość ciągu dla fwrite()w czasie kompilacji.

printf("Hello World\n")

automatycznie kompiluje się do odpowiednika

puts("Hello World")

możesz to sprawdzić, demontując swój plik wykonywalny:

push rbp
mov rbp,rsp
mov edi,str.Helloworld!
call dword imp.puts
mov eax,0x0
pop rbp
ret

za pomocą

char *variable;
... 
printf(variable)

doprowadzi do problemów z bezpieczeństwem, nigdy nie używaj printf w ten sposób!

więc twoja książka jest rzeczywiście poprawna, używanie printf z jedną zmienną jest przestarzałe, ale nadal możesz używać printf ("mój ciąg \ n"), ponieważ automatycznie stanie się to puts

W przypadku gcc możliwe jest włączenie określonych ostrzeżeń do sprawdzania printf()i scanf().

Dokumentacja gcc stwierdza:

-Wformatjest zawarte w -Wall. Aby uzyskać większą kontrolę nad niektórymi aspektami formacie sprawdzających, opcje -Wformat-y2k, -Wno-format-extra-args, -Wno-format-zero-length, -Wformat-nonliteral, -Wformat-security, i -Wformat=2są dostępne, ale nie są włączone -Wall.

To, -Wformatco jest włączone w tej -Wallopcji, nie włącza kilku specjalnych ostrzeżeń, które pomagają znaleźć te przypadki:

• -Wformat-nonliteral ostrzeże, jeśli nie przekażesz łańcucha liter jako specyfikatora formatu.
• -Wformat-securityostrzeże, jeśli przekażesz ciąg, który może zawierać niebezpieczną konstrukcję. To podzbiór -Wformat-nonliteral.

Muszę przyznać, że włączenie -Wformat-securityujawniło kilka błędów, które mieliśmy w naszej bazie kodu (moduł logowania, moduł obsługi błędów, moduł wyjściowy xml, wszystkie miały pewne funkcje, które mogłyby robić niezdefiniowane rzeczy, gdyby zostały wywołane z% znakami w swoim parametrze. nasza baza kodów ma teraz około 20 lat i nawet jeśli byliśmy świadomi tego rodzaju problemów, byliśmy bardzo zaskoczeni, gdy włączyliśmy te ostrzeżenia, ile z tych błędów nadal znajduje się w bazie kodu).

Oprócz innych dobrze wyjaśnionych odpowiedzi, z uwzględnieniem wszelkich wątpliwości pobocznych, chciałbym udzielić dokładnej i zwięzłej odpowiedzi na zadane pytanie.

Dlaczego printfpojedynczy argument (bez specyfikatorów konwersji) jest przestarzały?

printfWywołanie funkcji za pomocą jednego argumentu w ogóle jest nie przestarzałe i również nie ma słabych punktów , gdy stosowane właściwie jak zawsze będą kodować.

C Użytkownicy z całego świata, od początkujących do ekspertów zajmujących się statusem, używają printftego sposobu, aby przekazać do konsoli prostą frazę tekstową.

Co więcej, ktoś musi rozróżnić, czy ten jedyny argument jest literałem ciągu, czy wskaźnikiem do łańcucha, który jest prawidłowy, ale często nie jest używany. W tym ostatnim przypadku mogą oczywiście wystąpić niewygodne dane wyjściowe lub dowolny rodzaj niezdefiniowanego zachowania , gdy wskaźnik nie jest ustawiony prawidłowo, aby wskazywał na prawidłowy ciąg, ale te rzeczy mogą również wystąpić, jeśli specyfikatory formatu nie pasują do odpowiednich argumentów, dając wiele argumentów.

Oczywiście nie jest również właściwe i właściwe, aby łańcuch, podany jako jeden i jedyny argument, miał jakikolwiek specyfikator formatu lub konwersji, ponieważ konwersja nie będzie miała miejsca.

To powiedziawszy, podając prosty literał ciągu, taki jak "Hello World!"jako jedyny argument bez żadnych specyfikatorów formatu wewnątrz tego ciągu, tak jak podałeś go w pytaniu:

printf("Hello World!");

nie jest przestarzały ani nie jest „ złą praktyką” ”, ani nie ma żadnych luk w zabezpieczeniach.

W rzeczywistości wielu programistów C zaczyna i zaczyna uczyć się i używać języka C, a nawet ogólnie języków programowania, z tym programem HelloWorld i tym printfoświadczeniem jako pierwszymi w swoim rodzaju.

Nie byłyby takie, gdyby zostały wycofane.

W książce, którą czytam, jest napisane, że printfpojedynczy argument (bez specyfikatorów konwersji) jest przestarzały.

Cóż, wtedy skupiłbym się na książce lub samym autorze. Jeśli autor naprawdę robi takie, moim zdaniem, błędne twierdzenia, a nawet naucza, że ​​bez wyraźnego wyjaśnienia, dlaczego to robi (jeśli te twierdzenia są naprawdę dosłownie równoważne w tej książce), uznałbym ją za złą książkę. W przeciwieństwie do tego dobra książka powinna wyjaśniać, dlaczego należy unikać pewnego rodzaju metod lub funkcji programowania.

Zgodnie z tym, co powiedziałem powyżej, używanie printftylko jednego argumentu (literału ciągu znaków) i bez żadnych specyfikatorów formatu nie jest w żadnym wypadku uznawane za przestarzałe ani uważane za „złą praktykę” .

Powinieneś zapytać autora, co miał na myśli, a nawet lepiej, zwróć uwagę, aby wyjaśnił lub poprawił odpowiednią sekcję dla następnego wydania lub w ogóle.