¿Cuál de sprintf/snprintf es más seguro?

Deseo saber cuál de estas dos opciones es la más segura de usar:

#define MAXLEN 255
char buff[MAXLEN + 1]

1. sprintf(buff, "%.*s", MAXLEN, name)

2. snprintf(buff, MAXLEN, "%s", name)

Tengo entendido que ambos son iguales. Por favor recomiende.

Las dos expresiones que diste son no equivalente: sprintf no toma ningún argumento que especifique el número máximo de bytes para escribir; simplemente toma un búfer de destino, una cadena de formato y un montón de argumentos. Por lo tanto, puede escribir más bytes de los que tiene espacio en el búfer y, al hacerlo, escribir código arbitrario. los %.*s no es una solución satisfactoria porque:

1. Cuando el especificador de formato se refiere a la longitud, se refiere al equivalente de strlen; esta es una medida del número de caracteres en la cadena, no de su longitud en la memoria (es decir, no cuenta el terminador nulo).
2. Cualquier cambio en la cadena de formato (agregar una nueva línea, por ejemplo) cambiará el comportamiento de la sprintf versión con respecto a los desbordamientos de búfer. Con snprintfse establece un máximo fijo y claro independientemente de los cambios en la cadena de formato o los tipos de entrada.

Para el ejemplo simple en la pregunta, puede que no haya mucha diferencia en la seguridad entre las dos llamadas. Sin embargo, en el caso general snprintf() probablemente sea más seguro. Una vez que tenga una cadena de formato más compleja con múltiples especificaciones de conversión, puede ser difícil (o casi imposible) asegurarse de que la longitud del búfer se tenga en cuenta con precisión en las diferentes conversiones, especialmente porque las conversiones anteriores no necesariamente producen un número fijo. de caracteres de salida.

Entonces, me quedaría con snprintf().

Otra pequeña ventaja para snprintf() (aunque no está relacionado con la seguridad) es que le dirá qué tan grande es el búfer que necesita.

Una nota final: debe especificar el tamaño real del búfer en el snprintf() llamada: se encargará de la contabilidad del terminador nulo por usted:

snprintf(buff, sizeof(buff), "%s", name);

La forma mejor y más flexible sería utilizar snprintf!

size_t nbytes = snprintf(NULL, 0, "%s", name) + 1; /* +1 for the '\0' */
char *str = malloc(nbytes);
snprintf(str, nbytes, "%s", name);

En C99, snprintf devuelve el número de bytes escritos en la cadena excluyendo el '\0'. Si hubiera menos de la cantidad necesaria de bytes, snprintf devuelve el número de bytes que habrían sido necesarios para expandir el formato (todavía excluyendo el '\0'). al pasar snprintf una cadena de longitud 0, puede averiguar de antemano cuánto tiempo habría sido la cadena expandida y usarla para asignar la memoria necesaria.

yo diría snprintf() es mucho más mejor hasta que leí este pasaje:

https://buildsecurityin.us-cert.gov/bsi/articles/knowledge/coding/838-BSI.html

El breve resumen es: snprintf() no portable su cambio de comportamiento de un sistema a otro. El problema más serio con snprintf() puede ocurrir cuando snprintf() se implementa simplemente llamando sprintf()Puede pensar que lo protege del desbordamiento del búfer y bajar la guardia, pero puede que no sea así.

Así que ahora sigo diciendo snprintf() más seguro, pero también siendo cauteloso cuando lo uso.

Hay una diferencia importante entre estos dos: el snprintf la llamada escaneará el name argumento hasta el final (terminando NUL) para averiguar el valor de retorno correcto. los sprintf la llamada, por otro lado, leerá COMO MÁXIMO 255 ​​caracteres de name.

Así que si name es un puntero a un búfer no terminado en NUL con al menos 255 caracteres, el snprintf la llamada podría salirse del final del búfer y desencadenar un comportamiento indefinido (como bloquearse), mientras que el sprintf la versión no lo hará.

Su declaración de sprintf es correcta, pero no estaría lo suficientemente seguro de sí mismo como para usar eso por motivos de seguridad (por ejemplo, si le falta un carácter críptico y no tiene escudo), mientras que hay snprintf que se puede aplicar a cualquier formato … oh Espere snprintf no está en ANSI C. Es (¿solo?) C99. Esa podría ser una razón (débil) para preferir la otra.

Bueno. podrías usar strncpytambién, ¿tú no podrías?

p.ej

  char buffer[MAX_LENGTH+1];
  buffer[MAX_LENGTH]=0;             // just be safe in case name is too long
  strncpy(buffer,MAX_LENGTH,name);  // strncpy will never overwrite last byte

Ambos le darán el resultado que desea, pero snprintf es más genérico y protegerá su cadena de desbordamientos sin importar la cadena de formato dada.

Además, porque snprintf (o sprintf para el caso) agrega una última \0debe hacer que el búfer de cadena sea un byte más grande, char buff[MAXLEN + 1].