如何实现字符串的输入输出？C 语言中的字符串是如何存储的？深入内存布局与 Buffer Overflow 防御

为什么 C 语言的字符串能让你从入门到放弃？

在很多初学者看来，字符串无非就是一段文本。但在 C 语言的世界里，没有真正的字符串类型。你所看到的字符串，本质上只是以 \0（ASCII 码为 0 的空字符）结尾的连续字符数组。

正是因为这种极其裸露的底层设计，使得 C 语言在处理字符串时拥有极致的性能，同时也留下了无数安全隐患。如果你只学会了 printf("%s", str)，那在面对高并发系统或者内核开发时，等待你的必然是经典的 Segmentation Fault（段错误）或者严重的内存溢出漏洞。

今天我们不讲教科书上的废话，直接剥开内存，看看 C 语言中的字符串是如何存储的，以及如何正确、安全地实现字符串的输入输出。

探秘底层：C 语言中的字符串是如何存储的？

要搞清楚字符串的存储，首先必须理解 C 程序的内存布局。C 语言字符串在内存中的位置，完全取决于你是如何定义它的。

1. 栈区数组 vs 代码段常量区：致命的存储差异

看看下面两行看起来几乎等价的代码：

char str1[] = "Hello, Hacker!";
char *str2 = "Hello, Hacker!";

它们在内存中的存储逻辑截然不同：

char str1[]（字符数组）：编译器会在栈帧（Stack Frame）分配 15 个字节的空间（含 \0），并将常量区中的字符串内容拷贝一份到栈上。这意味着 str1 上的内容是可读可写的。
*`char str2（字符指针）**：str2本身是一个位于栈上的指针变量（占用 8 字节，64 位系统），但它指向的字符串字面量存放在**只读数据段（.rodata，属于代码段）**。如果你尝试修改str2[0] = 'h'，CPU 的内存管理单元（MMU）会立刻触发硬件异常，操作系统直接发送SIGSEGV` 信号终止程序。

用 GDB 手动印证这一点：

(gdb) print &str1
$1 = (char (*)[15]) 0x7fffffffde30  # 栈地址（高地址）
(gdb) print str2
$2 = 0x400684                       # .rodata 段地址（低地址）

2. `\0` 哨兵机制与内存连续性

C 语言字符串不记录长度，这就是所谓的 Null-terminated string。标准库函数（如 strlen、strcpy）全靠扫描内存直到遇到 0x00 来判断结束。

如果你的字符数组没有以 \0 结尾：

char bad_str[5] = {'H', 'e', 'l', 'l', 'o'}; // 踩坑：缺少 \0
printf("%s\n", bad_str);

printf 会沿着 bad_str 的首地址一路向高地址打印，越界读取栈上的其他垃圾数据，直到偶然遇到一个 0x00 字节。这就是典型的越界读取（Out-of-bounds Read），在安全领域常被利用来泄漏敏感数据（如栈 Canary 或指针地址）。

进阶实战：如何实现字符串的输入输出？

知道了存储原理，再来看如何实现字符串的输入输出。别以为 scanf 和 printf 很简单，90% 的内存漏洞都源于错误的输入函数选择。

1. 安全输入的终极法则：防御 Buffer Overflow

绝不能使用的函数：`gets()`

gets() 是 C 语言史上最恶名昭彰的接口，在 C11 标准中已被彻底废除。它不接收长度参数，用户输入多少字节它就往缓冲区塞多少字节。一旦输入超过数组容量，就会淹满栈帧，覆盖返回地址（Return Address），直接导致远程代码执行（RCE）。

危险与灵活并存：`scanf()` 的正确姿势

很多人用 scanf("%s", buf)，这和 gets() 一样危险。因为 %s 默认遇到空白字符停止，且无视数组边界。

正确的做法是指定最大宽度：

char buf[16];
// 最多读取 15 个字符，保留 1 个字节给 '\0'
scanf("%15s", buf);

生产环境的首选：`fgets()`

fgets() 是目前工业级代码中最通用的输入方式，能精准限制输入字节数：

#include <stdio.h>
#define BUF_SIZE 32

int main() {
    char name[BUF_SIZE];
    printf("Input your name: ");

    if (fgets(name, sizeof(name), stdin) != NULL) {
        // fgets 会保留换行符 '\n'，需要手动清理
        size_t len = strlen(name);
        if (len > 0 && name[len - 1] == '\n') {
            name[len - 1] = '\0';
        }
        printf("Hello, %s!\n", name);
    }
    return 0;
}

2. 高效输出：从 `puts` 到 `write` 系统调用

C 语言输出字符串主要有三种层级：

puts(str)：最简单，会自动在末尾加上 \n，性能略高于 printf。
printf("%s", str)：支持格式化，但在打印用户可控的字符串时，千万不能写成 printf(user_input)！这会引发格式化字符串漏洞（Format String Vulnerability），攻击者传入 %x.%x.%x 即可任意读取栈内存。
write(1, str, len)：POSIX 系统调用，无缓冲区，直接打入 file descriptor 1（标准输出），常用于要求高实时性或安全敏感的底层开发。

踩坑记录：这些内存巨坑你踩过几个？

这里记录几个我在实际项目与 CTF 竞赛中遇到的真实内存坑点。

坑点一：`sizeof` 与 `strlen` 的混淆

void process(char p[]) {
    printf("Size: %zu\n", sizeof(p));   // 报错：输出 8（指针大小），而非数组长度！
    printf("Len:  %zu\n", strlen(p));   // 正确：扫描 '\0'
}

⚠️ 注意：当字符数组作为函数参数传递时，它会退化（Decay）为普通指针。在函数内部切勿使用 sizeof(p) 获取数组容量！

坑点二：野指针与悬空字符串

char* get_string() {
    char local_str[] = "Temp Data";
    return local_str; // 致命错误！返回栈变量地址
}

local_str 的生命周期仅限于函数内部，函数返回后栈帧被销毁，返回的指针变成了悬空指针（Dangling Pointer）。后续对该地址的访问会导致不可预知的崩溃。如果需要返回字符串，应使用 malloc 在堆区分配空间，或使用 static 关键字修饰。

总结与扩展方向

搞懂 C 语言中的字符串是如何存储的，是通往高阶 C 程序设计与二进制安全的必经之路。总结来说：

字符串本质是连续字节序列加 \0 终止符。
区分栈数组（可写）与指针常量（只读）。
彻底告别 unsafe 函数，输入严格控制边界（优先选用 fgets）。

拓展思考：在 Linux X86_64 体系下，如何通过栈溢出覆盖字符串指针？现代化编译器（如 GCC）的 -fstack-protector（Canary 保护机制）又是如何检测出字符串缓冲区溢出的？感兴趣的技术极客可以尝试开启 GCC 的 -S 参数编译汇编代码，亲自观察栈帧的变化。

如何实现字符串的输入输出？C 语言中的字符串是如何存储的？深入内存布局与 Buffer Overflow 防御

为什么 C 语言的字符串能让你从入门到放弃？

探秘底层：C 语言中的字符串是如何存储的？

1. 栈区数组 vs 代码段常量区：致命的存储差异

2. \0 哨兵机制与内存连续性

进阶实战：如何实现字符串的输入输出？

1. 安全输入的终极法则：防御 Buffer Overflow

绝不能使用的函数：gets()

危险与灵活并存：scanf() 的正确姿势

生产环境的首选：fgets()

2. 高效输出：从 puts 到 write 系统调用