XCode說一些C程序可能不安全？這究竟意味着什麼？

Question

說，我們在C.

，如果我繼續工作，做到這一點：

char *word; 
word = "Hello friends"; 
printf(word); 

然後XCode的告訴我，因爲我不使用字符串文字，我可能有一些是潛在不安全。這是否意味着開啓某些東西來破解我的程序？如果是這樣，那怎麼會發生？

或者，如果我這樣做：

char *word; 
word = "Hello friends"; 
printf("%s", word); 

然後提出了XCode沒有任何標誌和我很好。究竟有什麼區別？

Answer 1

printf的第一個參數不是您想要打印的字符串。這是一個格式字符串。它可以包含格式化指令，這些指令會導致一旦與更多參數組合後打印的字符串。

你的第一個例子是an uncontrolled format string vulnerability。

Answer 2

的問題是，在第一種情況下，如果word包含格式規範（%d，%f，%s等），則printf()將假定這些值是在棧中，但其實不是，這可能導致一場崩潰。

使用puts()或fputs()而不是如果你不關心格式。