什么导致这种格式字符串攻击？

看看这个易受攻击的片段:

int main(int argc, char **argv) {
  printf(argv[1], "bla");
  return 0;
}

在没有优化的情况下编译它会导致

./test "asd"
asd

./test "asd %s"
asd bla

./test "asd %0\$s"
asd %0$s

./test "asd %45\$s"
asd XDG_VTNR=7 <-- What the...

好吧,实际上似乎"%(number)\ $ s"试图将(数字)参数解释为字符串,查看堆栈的上方,我遇到了我的环境变量.在任何地方都使用这种格式字符串,特别是使用好奇的"\ $"？我找不到任何参考资料.

最后,通过优化编译启用它会导致:

*** invalid %N$ use detected ***
asd zsh: abort      ./test "asd %46\$s"

我以前从未见过这样的错误.它从何而来？

(我使用的是Gentoo Linux/GCC 4.8.2/glibc 2.18)