Funções scanf
e gets
para processamento de strings
A função scanf
é segura para processamento de strings. Isso porque há um campo específico para delimitar o comprimento da string a ser armazenada. Isso é mostrado no exemplo a seguir.
// Exemplo 01
#include <stdio.h>
#define SIZE 7
int main(void)
{
char cidade[SIZE];
printf("Insira o nome da sua cidade: "); // Brasilia
scanf("%6s", cidade);
printf("A cidade e: %s", cidade); // Brasil
return 0;
}
/* ## Output ##
* Insira o nome da sua cidade: Brasilia
* A cidade e: Brasil
*/
Se o usuário inserir para o nome da cidade Brasilia
, não irá ocorrer um overflow do buffer, uma vez que scanf
irá se limitar a tentar armazenar em cidade
apenas os 6 primeiros caracteres da string, conforme a instrução %6s
(além de inserir ao final \0
, que é o null character: referência). Por isso, quando o resultado é mostrado na tela aparece como nome da cidade Brasil
.
O inconveniente é que o limite para o comprimento da string não pode ser inserido como argumento de modo direto, ao contrário de printf
. Mais detalhes no Complemento.
O processamento de strings também pode ser realizado pela função gets
. Entretanto, gets
não apresenta qualquer campo delimitador e irá realizar a leitura até encontrar uma nova linha ou o fim do arquivo (EOF). Reescrevendo o exemplo anterior para gets
:
// Exemplo 02
#include <stdio.h>
#define SIZE 7
int main(void)
{
char cidade[SIZE];
printf("Insira o nome da sua cidade: "); // Brasilia
gets(cidade);
printf("A cidade e: %s", cidade); // ???
return 0;
}
/* ## Possivel Output ##
* Insira o nome da sua cidade: Brasilia
* A cidade e: Brasilia
*/
Dessa forma, gets
tenta armazenar em cidade
a string completa, o que não é possível, afinal cidade
não comporta uma string de 8 caracteres. No caso testado, gets
invadiu os endereços de memória adjacentes para escrever a parte da string que não era possível armazenar em cidade
, resultando em um overflow do buffer. Se for inserida uma string suficientemente longa, a tendência é que além de acontecer um overflow do buffer, ele também cause uma falha de segmentação (mais detalhes aqui e aqui). Buffer overflow é uma das principais vulnerabilidades exploradas por hackers e por isso deve se ter uma atenção especial a essa questão (vídeo: ataque via buffer overflow na prática. Texto: Buffer Overflow Exploit). Dessa forma, pela falta de um campo que delimite o comprimento da string a ser armazenada é impossível realizar a leitura de strings de modo seguro por gets
(e a leitura de strings é a única função de gets
). Por isso, gets
nunca deve ser usado e foi removido completamente da linguagem a partir de C11.
Funções scanf
e fgets
para processamento de dados aritméticos
Além de strings, scanf
também realiza a leitura de dados aritméticos (valores inteiros e de ponto flutuante). Entretanto, para esse caso, scanf não é seguro, não havendo garantia de proteção garantida contra comportamento indefinido. O código seguinte ilustra isso. Uma vez que a C standard especifica apenas o valor absoluto mínimo dos tipos inteiros, o valor de LONG_MIN
e LONG_MAX
dependem da implementação, porém obrigatoriamente LONG_MIN <= -2147483647
e LONG_MAX >= +2147483647
).
// Exemplo 03
#include <stdio.h>
#include <limits.h>
#include <errno.h>
#define SIZE 100
int main(void) {
long a;
char buffer[SIZE];
printf("Digite o numero: "); // 2147483648 (LONG_MAX + 1)
int success = scanf("%ld", &a);
printf("a = %ld", a);
getchar();
printf("\nDigite o numero: "); // 2147483648
fgets(buffer, SIZE, stdin);
long b = strtol(buffer, NULL, 10);
if (b == LONG_MAX && errno == ERANGE) {
printf("b: Overflow!\n");
}
else if (b == LONG_MIN && errno == ERANGE) {
printf("b: Underflow!\n");
}
printf("b = %ld", b);
return 0;
}
/* ## Possivel Output ##
* Digite o numero: 2147483648
* a = -2147483648
* Digite o numero: 2147483648
* b: Overflow!
* b = 2147483647
*/
O usuário entra com um número suficientemente grande de modo que o tipo long
seja incapaz de armazenar (ler Observação). Scanf
lê o número e retorna 1
(o retorno de scanf
indica o número de valores atribuídos com sucesso). Entretanto, acontece overflow e de acordo com a C Standard o overflow de inteiros resulta em comportamento indefinido. No teste realizado com o exemplo, o que ocorreu foi a atribuição à variável a
do valor -2147483648
. Isso indica que houve o que se conhece como wraparound. Entretanto, scanf
não permite testar a ocorrência de overflow de inteiros. A situação pode ser amenizada buscando impor um limite ao valor lido. Considerando um long
em que LONG_MAX
é +2147483647
, é possível impor um limite escrevendo scanf("%9ld", number)
. Nota-se que um valor com 10 dígitos (%10ld
) já abriria margem para overflow (+9 999 999 999 > +2 147 483 647
). Entretanto, impondo-se o limite de 9 dígitos, o que acontece é que existe um intervalo de números que são válidos (long
comporta), porém o código exclui das possibilidades. Por sua vez, fgets
oferece proteção. Primeiramente, no código, fgets(buffer, SIZE, stdin)
limita o valor lido, impedindo a ocorrência de overflow do buffer, o que poderia ser crítico. Na sequência, strtol
realiza a conversão para o tipo long
: long b = strtol(buffer, NULL, 10)
. Não é possível armazenar o valor em um tipo long
, então strtol
:
- Retorna o maior inteiro possível:
LONG_MAX
. Com isso, evita a ocorrência de overflow da variável b
.
- Seta a flag
errno
para ERANGE
indicando que um erro ocorreu, especificamente um valor processado com magnitude excessivamente grande.
Destaca-se que scanf
não seta errno
impedindo que estratégia semelhante seja adotada em scanf
.
Nota-se que a lógica de fgets
é segura. Mesmo que se tente um ataque baseado em overflow, todos os comportamentos estão bem definidos. Não haverá overflow de buffer e nem um integer overflow da variável b
, que estará obrigatoriamente no seu intervalo de validade.
Se for um tipo float
, a situação é mais sutil. De acordo com a IEEE 754, se um número for excessivamente grande para ser armazenado em um tipo float
, deve se atribuir à variável o valor especial inf
ou -inf
(tópico 7.4 da IEEE 754 e abordado aqui [tópico 2 Overflow and underflow] e aqui [tópico: 2.3.2 Overflow]). Entretanto, isso não consta na C standard. Portanto, um compilador pode ou não reproduzir o comportamento descrito na IEEE 754. Caso haja obediência à IEEE 754, o comportamento de scanf
, ao ler um número excessivamente grande, será atribuir à variável do tipo float
o valor especial inf
ou -inf
. Esse é um comportamento definido e, nesse sentido, seguro. Isso é ilustrado no código abaixo.
// Exemplo 04
#include <stdio.h>
#include <math.h>
int main(void) {
float a;
printf("Digite o numero: "); // 2E40
int success = scanf("%f", &a); // 1
if (isinf(a)) {
printf("Underflow ou Overflow!\n"); // Underflow ou Overflow!
}
printf("a = %f", a); // inf
return 0;
}
/* ## Possível Output ##
* Digite o numero: 2E40
* Underflow ou Overflow!
* a = inf
*/
Esse código foi testado no MSVC, Clang, GCC e TCC. Em todos a variável a
recebeu o valor especial inf
. Entretanto, compiladores C não são obrigados a obedecerem à IEEE 754 e, portanto, scanf
não é seguro em relação ao armazenamento de números em ponto flutuante.
Por outro lado, a estratégia por fgets
envolve duas operações sequenciais:
fgets
armazena o valor lido como string em um array de char
strtof
realiza a conversão da string para float
A primeira operação é segura, conforme o exemplo 3. A segunda operação também é segura, uma vez que o seu comportamento é determinado pela própria C standard. Se o valor convertido por strtof
estiver fora do intervalo válido, então HUGE_VALF
é retornado (referência). Com isso, há a certeza de um comportamento definido.
Portanto, o processamento de valores ponto flutuantes pela estratégia por meio de fgets
é segura. O código abaixo é a versão com fgets
do Exemplo 4.
// Exemplo 05
#include <stdio.h>
#include <math.h>
#include <stdlib.h>
#define SIZE 50
int main(void) {
char buffer[SIZE ];
float a;
printf("Digite o numero: "); // 2E40
fgets(buffer, SIZE, stdin);
buffer[strcspn(buffer, "\n")] = 0; // remove '\n'
a = strtof(buffer, NULL);
if (isinf(a)) {
printf("Underflow ou Overflow!\n");
}
printf("a = %f", a); // +inf
return 0;
}
/* ## Output ##
* Digite o numero: 2E40
* Underflow ou Overflow!
* a = inf
*/
Estratégia de buffer[strcspn(buffer, "\n")] = 0
: referência.
Função fgets
para processamento de strings
Além do processamento de dados aritméticos, fgets
também pode ser usado para processamento de strings, como substituto a scanf
. O primeiro exemplo com scanf
pode ser adaptado para uma versão alternativa com fgets
.
// Exemplo 06
#include <stdio.h>
#define SIZE 7
int main(void) {
char cidade[SIZE];
printf("Insira o nome da sua cidade: "); // Brasilia
fgets(cidade, SIZE, stdin);
printf("A cidade e: %s", cidade); // Brasil
return 0;
}
/* ## Output ##
* Insira o nome da sua cidade: Brasilia
* A cidade e: Brasil
*/
Da mesma forma que scanf
, fgets
também oferece proteção contra overflow do buffer. Entretanto, ao contrário de scanf
, em fgets
o valor máximo para o número de caracteres na string pode ser inserido de modo direto como um argumento, nesse caso, inserido por meio de SIZE
(mais informações no Complemento).
Complemento
Com printf
é possível inserir o valor para o campo delimitador por meio de um argumento. O exemplo a seguir ilustra isso:
// Exemplo 07
#include <stdio.h>
#define SIZE 6
int main(void) {
char cidade[20] = "Brasilia";
printf("%.*s \n", SIZE, cidade); // Brasil
printf("%.6s \n", cidade); // Brasil
return 0;
}
/* ## Output ##
* Brasil
* Brasil
*/
Para scanf
a única estratégia direta é a análoga ao do segundo printf
. Isso é uma desvantagem uma vez que o campo delimitador via argumento, ao contrário da estratégia "hardcoded", permite trabalhar com facilidade casos em que o valor é proveniente de:
- Uma variável de outro arquivo
- Um argumento inserido pelo usuário
E ainda conveniente se for usado em diversos printf
.
Observação: é possível scanf
receber o valor para o campo delimitador via argumento, porém não de modo direto. Detalhes aqui e aqui.
Observação
Um buffer overflow significa de fato um extravasamento de dados, resultando em uma invasão a regiões de memória não pertencentes à variável. Em um integer overflow (ou floating overflow) não necessariamente acontece essa invasão. Ao se referir a esse tipo de overflow se faz alusão à tentativa de atribuição de um valor a uma variável que é incapaz de armazenar tal valor devido a magnitude excessiva dele. Para um integer overflow, isso configura comportamento indefinido, podendo resultar em um buffer overflow (invasão de memória), um wraparound, etc. Essa lógica é a que se deduz pela IEEE 754 e ela é adotada aqui. Entretanto, pode-se argumentar em contrário, uma posição bastante lógica.
Tópico Adicional:
Particularidades de scanf
, gets
e fgets
no processamento de strings
O comportamento padrão da função scanf
é parar a leitura no primeiro whitespace
encontrado (referência). Entretanto, o whitespace
é deixado no buffer de entrada. Portanto, o código a seguir não está correto:
// Exemplo 08
#include <stdio.h>
#define SIZE 20
int main() {
char cidade[SIZE];
char estado[SIZE];
printf("Cidade: "); // Manaus
scanf("%19s", cidade);
printf("Estado: ");
fgets(estado, 20, stdin);
return 0;
}
/* ## Possível Output ##
* Cidade: Manaus
* Estado:
*/
O que acontece é que scanf
realiza a leitura da cidade inserida pelo usuário e deixa no buffer de entrada \n
. Com isso, fgets
lê o restante do buffer de entrada (\n
) e armazena na variável estado
. Com isso, o usuário não consegue inserir o estado. Para corrigir esse código é necessário inserir getchar
após cada scanf
. Entretanto, essa proteção falha se o usuário inserir para a variável cidade
a sequência: Manaus space enter. O programa retorna ao problema inicial: getchar
irá remover o espaço do buffer, porém a nova linha permanecerá no buffer. Uma alternativa para que esse problema também seja resolvido é substituir getchar
por while ((c = getchar()) != EOF && c != '\n')
. Com isso, será limpo do buffer de entrada tudo após o último caractere processado por scanf
até se encontrar uma nova linha ou o fim do arquivo. Portanto, para essa solução, cada getchar
seria substituído por:
int c;
while ((c = getchar()) != EOF && c != '\n');
Para ambos os casos, fgets
já provê intrinsicamente a proteção necessária. Isso porque fgets
lê até uma nova linha, fim do arquivo ou alcançar o número de caracteres delimitados, o que acontecer primeiro (referência). No caso em questão, a nova linha é o que acontece primeiro e ela é incluída na variável associada (no caso cidade
ou estado
) e removida do buffer de entrada. De modo semelhante, gets
lê até que seja encontrada uma nova linha ou o fim do arquivo. Caso seja encontrada uma nova linha, ela é incluída na variável associada (referência).
Por fim, diversas particularidades de scanf
e fgets
são exploradas aqui.
Conclusão
Isso significa que em alguns casos scanf
pode ser usado com segurança
e em outros não?
Sim. O processamento de strings pode ser realizado com segurança por scanf
. Entretanto, no processamento de valores inteiros e de ponto flutuante não há garantia.
Há casos em que gets
pode ser usado com segurança ou deve ser evitado
completamente?
Deve ser evitado completamente. A função gets
é segura apenas em ambientes em que se imponha limites à stdin
, o que é um caso muito específico.
De que forma fgets
é mais segura?
A função fgets
proporciona segurança tanto no processamento de strings como no de dados aritméticos (inteiros e de ponto flutuante).