情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

攻撃者の指定したアドレスを0x12345678、改行コードを0x0aとした場合について、入力値の具体的なバイト列を答えよ。

という問題に対して、「%7s」という７文字の指定が入っているにも関わらず、「78563412」という８文字の値が何故許容されるのかわかりません。

基礎的な内容かもしれませんが、何度ググってもわからなかったので、教えていただけないでしょうか。

>%7s
文字の長さが７文字迄
文字列は最後に¥0
文字列としては7文字+区切1つなのでデータとしては8文字分となるかと。

文字列のはずか¥0を見つけられずバッファオーバーランですね。

>来春再合格対策中 さま
早速のご教示ありがとうございます。

まだ少し理解できていないのですが、C++では一般的に
%7sと定義した場合は、その後に１文字の入力が許容されるというルールがある、
という理解で間違いないでしょうか？

いいえ。

図１ 脆弱性が存在するC++ソースコード
19行目
name = new char[8]

22行目
scanf(

図４ ライブラリ関数の呼び出し時の動き
19行目で確保したメモリ領域が 22行目の標準関数でどのように参照されるかとなります。

>「78563412」という８文字
問われていることは、文字列ではなくて（文字列を格納するメモリ領域への）アドレスかと。

ご教示ありがとうございます。すみません、まだよくわかっていません。

scanf("%7s%*[^\n]%*c", m_note->name);
と定義されている以上、
785634120a と入力したとして、
7856341 までしか読み込まれないのでは？と思いました。

もしくは、
scanf("%7s%  *  [^\n]%*c",...
とここにワイルドカードがあるため、最後の１文字「2」はここで許容されているということなのでしょうか。

mote->name に格納されているポインタ
mote->name が指すバッファ領域（９バイト）

過去問で問われているのはポインタですが
 tonumaさんのご質問はバッファ領域のお話ではないでしょうか。
そこで私は「バッファオーバーラン」となる例を投稿しました。

問題文て16進数とあるので785634120aはリトルエンディアンですので、入力値は12 34 56 78 0a。5文字かと

通りすがりのおじさん(No.8)さんがおっしゃっているように、
0x78 0x56 0x34 0x12 0x0aに該当する5文字を入力して攻撃アドレスを埋め込んでいる認識です。

文字'7'(0x37)'8'(0x38)を入力しているわけではありません。
scanfで読み込む文字としては5文字となるので"%7s"ではすべて読み取ってしまいます。

下線②の攻撃はBOFではなく、User-After-Freeだと思います。

UAF
ご指摘いただきありがとうございます。

通りすがりのおじさんさん(No.8) 様、
マーシュさん(No.9) 様、
来春再合格対策中さん(No.10) 様

ありがとうございます。16進数の基本がわかっていないことがわかりました。
16進数では0x78が１文字カウントで、この場合は最初の４文字を読み込み、その後改行コードを読み込むことで、入力データの終端と認識されると理解しました。