C言語のサンプルコードで学ぶフォーマット文字列脆弱性とその防止策

フォーマット文字列（Format String）とは、文字列を整形（フォーマット）するために使用されるASCII文字列のことです。テキストと書式指定パラメータ（フォーマット指定子）を組み合わせて構成されます。

C言語には、プログラムの出力を整形するために、さまざまなフォーマット文字列が用意されています。

フォーマット文字列脆弱性とは

フォーマット文字列脆弱性とは、プログラマが陥りやすいプログラミング上のミスによって発生するバグです。攻撃者が入力した文字列がそのまま printf や sprintf などの出力関数に渡されると、任意のメモリアドレスへの書き込み操作が行われる可能性があります。これにより、情報漏洩やプログラムの異常動作、最悪の場合は任意コードの実行につながることもあります。

脆弱性のあるコード例

以下は、典型的なフォーマット文字列脆弱性を含むC言語のコード例です。

#include<stdio.h>
#include<string.h>

int main(){

   char buffer[100];
   strncpy(buffer, "Hii ", 5);
   printf(buffer);

   return 0;
}

このコードでは、printf の第一引数に書式指定文字列を指定せず、変数 buffer を直接渡しています。もし buffer の内容がユーザー入力によって制御できる場合、攻撃者は「%x」や「%n」などのフォーマット指定子を注入することで、スタック上のデータを読み取ったり、任意のメモリ位置に値を書き込んだりできる可能性があります。

フォーマット文字列脆弱性の防止策

フォーマット文字列脆弱性を防ぐためには、以下のような対策が有効です。

• ユーザー入力をフォーマット文字列として使用せず、プログラム内で固定の書式指定文字列を使うようにします。文字列を出力する場合は「%s」フォーマット指定子を利用することで、この問題は簡単に解決できます（例：printf("%s", buffer)）。

• フォーマット文字列は定数として作成し、可変の文字列は定数文字列に埋め込まず、関数呼び出しの引数として渡すようにします。

• 定数文字列と可変文字列の初期化ルールに従うことができないケースでは、フォーマットガード（書式チェック機構）を使用して防御します。

また、コンパイラの警告機能（GCCの -Wformat-security オプションなど）を活用して、危険なフォーマット文字列の使用をビルド段階で検出することも効果的な対策の一つです。