2.3　字符串漏洞及其利用

前面一節描述的是在C或C++中操作字符串常見的錯誤。當代碼對源于外部的不受信任的數據（如命令行參數、環境變量、控制臺輸入、文本文件和網絡連接）進行操作時，這些錯誤就會變得很危險。根據程序的使用和部署情況，外部數據可能受信任或不受信任。然而，軟件可以使用的所有方式往往是很難預測的。通常在部署代碼時，在開發過程中所作的假設不再有效。假設的改變，是一種常見的漏洞來源。因此，將所有外部數據都當作不可信的是更安全的做法。

在軟件安全分析領域，一個值稱作被污染的，如果它的來源是不受信任的（程序的控制之外），并且沒有被凈化，以確保它符合該值的使用者要求的任何約束，例如，所有的字符串都要求是空字符結尾的約束。