搜索

[26881] 2019-12-20_一道题彻底理解PwnHeapUnlink

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2019-12-20_一道题彻底理解PwnHeapUnlink 一 道 题 彻 底 理 解   P w n   H e a p   U n l i n k 原 创   s h a v c h e n   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 2 - 2 0 基 本 原 理 u n l i n k 是 一 个 宏 操 作 ， 用 于 将 某 一 个 空 闲   c h u n k   从 其 所 处 的 双 向 链 表 中 脱 链 ， 我 们 来 利 用 u n l i n k   所 造 成 的 漏 洞 时 ， 其 实 就 是 对 进 行   u n l i n k   c h u n k   进 行 内 存 布 局 内 存 布 局 ， 然 后 借 助   u n l i n k   操 作 来 达 成 修 改 指 针 的 效 果 。 利 用 条 件 1 .   U A F   ， 可 修 改   f r e e   状 态 下   s m a l l b i n   或 是   u n s o r t e d   b i n   的   f d   和   b k   指 针 2 .   已 知 位 置 存 在 一 个 指 针 指 向 可 进 行   U A F   的   c h u n k 利 用 思 路 设 指 向 可   U A F   c h u n k   的 指 针 的 地 址 为   p t r 1 .   修 改   f d   为   p t r   -   0 x 1 8 2 .   修 改   b k   为   p t r   -   0 x 1 0 3 .   触 发   u n l i n k p t r   处 的 指 针 会 变 为   p t r   -   0 x 1 8 。 实 现 效 果 使 得 已 指 向   U A F   c h u n k   的 指 针   p t r   变 为   p t r   -   0 x 1 8 源 码 分 析 源 码 路 径 源 码 路 径 m a l l o c . c         _ i n i t _ f r e e                 # d e f i n e   u n l i n k ( A V ,   P ,   B K ,   F D )   / / l i n e : 1 4 0 5
逐 次 分 析 如 下 宏 定 义 宏 定 义 P ：   待 脱 链 的 空 闲 c h u n k 的 指 针 B K ： 后 一 个 c h u n k 的 指 针 F D ： 前 一 个 c h u n k 的 指 针 大 小 检 查 大 小 检 查 若 物 理 相 邻 的 后 一 个 c h u n k 的 p r e v _ s i z e 位 的 值 与 当 前 待 脱 链 的 空 闲 c h u n k 的 s i z e 不 等 时 ， 报 错 指 针 操 作 指 针 操 作 ` 首 先 通 过   f d   以 及   b k   指 针 获 得   P   的 前 一 个 空 闲   c h u n k   为   F D ， 以 及 后 一 个 空 闲   c h u n k   为   B K 图 示 如 下 ： 8   b y t e s   /   小 格 ( 以 6 4 位 程 序 为 例 ) # d e f i n e   u n l i n k ( A V ,   P ,   B K ,   F D )     ( _ _ b u i l t i n _ e x p e c t   ( c h u n k s i z e ( P )   ! =   p r e v _ s i z e   ( n e x t _ c h u n k ( P ) ) ,   0 ) )                   m a l l o c _ p r i n t e r r   ( " c o r r u p t e d   s i z e   v s .   p r e v _ s i z e " ) ;         F D   =   P - > f d ;         B K   =   P - > b k ;        
关 键 检 查 关 键 检 查 这 是 一 个 关 键   c h e c k   ， 利 用 者 想 要 绕 过 此 检 查 ， 需 要 构 造 合 适 的   f a k e   c h u n k 如 何 绕 过 检 查 呢 ？ 满 足 以 下 式 子 ： 如 果 要 让 和 指 向 同 一 个 指 向 的 指 针 ， 那 么 需 要 将   f d   和 b k   的 内 容 分 别 修 改 为 ： 因 此 ， 我 们 只 需 要 将   f d   的 内 容   设 置 为   ( & p - 0 x 1 8 ) ， 将   b k   的 内 容 设 置 为   ( & p - 0 x 1 0 )   即 可 绕 过 安 全 检 查   ( _ _ b u i l t i n _ e x p e c t   ( F D - > b k   ! =   P   | |   B K - > f d   ! =   P ,   0 ) )                                     m a l l o c _ p r i n t e r r   ( " c o r r u p t e d   d o u b l e - l i n k e d   l i s t " ) ;         - > f d - > b k   = =   P   < = >   * ( P - > f d   +   0 x 1 8 )   = =   P   - > b k - > f d   = =   P   < = >   * ( p - > b k   +   0 x 1 0 )   = =   P   P - > f d + 0 x 1 8 p - > b k + 0 x 1 0 P - > f d   =   & P   -   0 x 1 8   - > b k   =   & P   -   0 x 1 0  
当 满 足 以 上 条 件 时 , 才 可 以 进 入   U n l i n k   断 链 的 环 节 ： 因 为   P   只 可 能 从   s m a l l b i n   或 者   l a r g e b i n   中 脱 链 ， 而 这 两 个   b i n   都 是 双 向 链 表 双 向 链 表 ， 因 此 脱 链 操 作 必 须 同 时 修 改 前 后   c h u n k   的   f d   或 者   b k   指 针 ， 即 进 行 如 下 操 作 对   Ⅰ 式 做 换 算 ， 得 到   P   =   & P   -   0 x 1 0   ， 如 下 对   Ⅱ   式 做 换 算 ， 得 到   P   =   & P   -   0 x 1 8   ， 如 下 综 上 ， 断 链 之 后   P   指 针 将 指 向   ( & p - 0 x 1 8 )   的 内 存 假 设 我 们 设 置   P   =   f r e e _ g o t ,   * ( & P - 0 x 1 8 )   =   s y s t e m ， 那 么 当 下 一 次 f r e e 一 个 堆 块 的 时 候 ， 就 会 调 用 s y s t e m 。 l a r g e b i n 脱 链 脱 链 对 于   s m a l l b i n   来 说 ， 脱 链 操 作 就 此 完 成 了 ， 但 是 对 于   l a r g e b i n   来 说 ， 还 有 未 完 成 的 工 作 ， 因 为   l a r g e b i n   中 还 有   f d n e x t s i z e   以 及 b k n e x t s i z e   指 针 需 要 修 改 。 s m a l l b i n   中 的   c h u n k   的   f d n e x t s i z e   和   b k n e x t s i z e   是 没 有 意 义 的 ， 即 使 是   l a r g e b i n ， 也 只 有 在 相 同 尺 寸 的 同 一 组   c h u n k s   中 的 第 一 个 c h u n k   中   f d n e x t s i z e   以 及   b k n e x t s i z e   才 有 意 义 。 - > b k   =   B K   < = >   P - > f d - > b k   =   p - > b k   < = >   * ( P - > f d   +   0 x 1 8 )   =   P - > b k   / / Ⅰ - > f d   =   F D   < = >   P - > b k - > f d   =   p - > f d   < = >   * ( P - > b k   +   0 x 1 0 )   =   P - > f d   / / Ⅱ         P - > f d   =   & P   -   0 x 1 8     * ( & P   -   0 x 1 8   +   0 x 1 8 )   =   P - > b k   = >   P   =   P - > b k   P - > b k   =   & P   -   0 x 1 0     P   =   & P   -   0 x 1 0   P - > b k   =   & P   -   0 x 1 0     * ( P - > b k   +   0 x 1 0 )   =   P - > f d   = >   P   =   P - > f d   P - > f d   =   & P   -   0 x 1 8     P   =   & P   -   0 x 1 8
可 见 只 有 当   P - > f d n e x t s i z e   ! =   n u l l   时 才 需 要 修 改 ， 因 为 如 果   P - > f d n e x t s i z e   = =   n u l l   ， 说 明   P   是 尺 寸 相 同 的 一 组   c h u n k s 的 非 第 一 个   c h u n k ， 此 时   P   的   f d n e x t s i z e   和   b k n e x t s i z e   是 没 有 意 义 的 ， 自 然 没 有 修 改 的 必 要 。 否 则 操 作 如 下 ： 如 果   F D - > f d _ n e x t s i z e   = =   N U L L   ， 那 么   P   脱 链 后   F D   即 成 为 当 前 尺 寸 相 同 的   c h u n k s   的 第 一 个   c h u n k 。 继 续 判 断   P - > f d _ n e x t s i z e   = =   P   ， 因 为 当   P   为 仅 有 的 唯 一 一 组 尺 寸 相 同 的   c h u n k s   的 第 一 个   c h u n k   的 话 ， 是 需 要 特 别 对 待 的 ， 否 则   F D   直 接 继 承   P   的   f d n e x t s i z e   以 及   b k n e x t s i z e   即 可 。 如 果   F D - > f d _ n e x t s i z e   ! =   N U L L   ， 说 明   F D   是 下 一 组 尺 寸 相 同 的   c h u n k s   的 第 一 个   c h u n k 。 题 目 详 解 基 本 信 息   ( ! i n _ s m a l l b i n _ r a n g e   ( P - > s i z e )                                         & &   _ _ b u i l t i n _ e x p e c t   ( P - > f d _ n e x t s i z e   ! =   N U L L ,   0 ) )   {         . . .   ( F D - > f d _ n e x t s i z e   = =   N U L L )   {                                                                         i f   ( P - > f d _ n e x t s i z e   = =   P )                                                                                 F D - > f d _ n e x t s i z e   =   F D - > b k _ n e x t s i z e   =   F D ;                                                           e l s e   {                                                                                                         F D - > f d _ n e x t s i z e   =   P - > f d _ n e x t s i z e ;                                                                           F D - > b k _ n e x t s i z e   =   P - > b k _ n e x t s i z e ;                                                                           P - > f d _ n e x t s i z e - > b k _ n e x t s i z e   =   F D ;                                                                           P - > b k _ n e x t s i z e - > f d _ n e x t s i z e   =   F D ;                                                                       }                                                                                           }   e l s e   {                                                                                                 P - > f d _ n e x t s i z e - > b k _ n e x t s i z e   =   P - > b k _ n e x t s i z e ;                                                           P - > b k _ n e x t s i z e - > f d _ n e x t s i z e   =   P - > f d _ n e x t s i z e ;                                                       }                                          
可 以 看 出 ， 程 序 是   6 4   位 的 ， 开 启 了   C a n a r y   和   N X   保 护 ， 功 能 为 对   N o t e 进 行 增 删 改 查 基 本 功 能 使 用   I D A   进 行 静 态 分 析 1 . 程 序 主 体 框 架 与 自 定 义 结 构 体 程 序 主 体 框 架 与 自 定 义 结 构 体     f r e e n o t e   f i l e   f r e e n o t e _ x 6 4         f r e e n o t e _ x 6 4 :   E L F   6 4 - b i t   L S B   e x e c u t a b l e ,   x 8 6 - 6 4 ,   v e r s i o n   1   ( S Y S V ) ,   d y n a m i c a l l y   l i n k e d ,   i n t e r p r e t e r   / l i b 6 4 / l ,   f o r     f r e e n o t e   c h e c k s e c   f r e e n o t e _ x 6 4 [ * ]   ' / m n t / h g f s / c t f _ d e b u g / H e a p / u n l i n k / f r e e n o t e / f r e e n o t e _ x 6 4 '         A r c h :           a m d 6 4 - 6 4 - l i t t l e         R E L R O :         P a r t i a l   R E L R O         S t a c k :         C a n a r y   f o u n d         N X :               N X   e n a b l e d         P I E :             N o   P I E   ( 0 x 4 0 0 0 0 0 )     . / f r e e n o t e   0 o p s   F r e e   N o t e   = =   L i s t   N o t e   N e w   N o t e   E d i t   N o t e   D e l e t e   N o t e   E x i t = = = = = = = = = = = = = = = = = = = = Y o u r   c h o i c e :
q w o r d 6 0 2 0 A 8   变 量 出 现 在 了 m a i n 函 数 的 各 个 子 函 数 中 ， 且 含 有 子 成 员 ， 判 断 其 为 结 构 体 类 型 ， 命 名 为   l i s t   ， 函 数 本 身 的 功 能 是 对 于 l i s t 结 构 体 做 初 始 化 工 作 ， 故 认 为 其 为   i n i t h e a p   函 数 这 是 一 个 标 准 的 菜 单 栏 ， 输 入 的 参 数 经   s u b _ 4 0 0 9 4 E   函 数 处 理 后 返 回   m a i n   中 相 应 的 子 函 数 ， 进 行 链 表 的 增 删 改 查 操 作 。 按 习 惯 ， 按   n 键   将 以 上 关 键 函 数 和 变 量 重 命 名
由   v 0   =   2 5 6   ， ( l i s t   +   8 )   =   0 ， 看 出   l i s t   结 构 体 存 在 两 个 普 通 8 字 节 变 量 ， 由   ( l i s t   +   2 4 L L   *   i   +   1 6 )   可 以 看 出 ， l i s t   结 构 体 中 存 在 一 个 结 构 体 数 组 变 量 ， 将 其 命 名 为   s t r u c t _ a r r a y ， 由   l i s t   +   2 4 L L   *   i   +   1 6 / 2 4 / 3 2   可 以 看 出 ， s t r u c t _ a r r a y   结 构 体 含 有 三 个 8 字 节 变 量 。 接 下 来 为 了 辅 助 分 析 ， 自 定 义 结 构 体 ， 以 使 代 码 更 简 明 S h i f t   F 9   切 换 结 构 体 窗 口 ， F n   +   P g D n   新 建 一 个 结 构 体 ， d   创 建 结 构 体 成 员 ， 切 换 字 节 宽 度 为   d q 右 键 设 置   s t r u c t l i s t   结 构 体 中 的 结 构 体 变 量   s t r u c t a r r a y   类 型 ( s t r u c t   s t r u c t _ a r r a y ) 以 及 宽 度 由   * v 0   =   2 5 6 L L   可 知 该 结 构 体 数 组 的 宽 度 为 2 5 6 字 节 注 意 到   v 0   =   m a l l o c ( 0 x 1 8 1 0 u L L )   与   s t r u c t _ l i s t   结 构 体 的 大 小 必 须 一 致 接 下 来 ， 双 击   i n i t h e a p   函 数 中 任 意 一 个   l i s t   变 量 ， 进 入 汇 编 窗 口 ， 按 修 改 类 型 为   s t r u c t l i s t   * l i s t   ， 使 结 构 体 生 效 y
返 回   i n i t _ h e a p   函 数 ，   F 5   刷 新 很 容 易 看 出   l i s t _ 0   为   c o u n t 从   N e w   函 数 中 的   i f   (   l i s t - > f i e l d 8   <   l i s t - > c o u n t )   可 以 看 出 ， f i e l d 8   为   c u r r e n t _ c o u n t 简 化 后 的 ， 如 下 结 果 , i n i t _ h e a p f i e l d _ 0
, 暂 时 看 不 出 什 么 作 用 ， 去 函 数 看 一 看 2 . N e w 函 数 分 析 函 数 分 析 由   i f   (   ! l i s t - > s t r u c t a r r a y [ i ] . f i e l d 0   )   可 判 断   f i e l d _ 0   为 一 个 标 志 位 ， 标 记 是 否 使 用 ， 为   0   时 才 创 建 堆 块 ， 将 其 命 名 为   f l a g ， 由   v 4   =   s u b 2 0 0 9 4 E   可 知   v 4   为 结 构 体 的 长 度 , 将   f i e l d 8   命 名 为 为   l e n g t h 由   v 1   =   m a l l o c ( ( 1 2 8   -   v 4   %   1 2 8 )   %   1 2 8   +   v 4 )   可 知   v 1   为 输 入 字 符 串 ， 将   f i e l d _ 1 0   命 名 为 注 意 到 这 里 对 b u f 进 行 了 对 齐 操 作 ， 对 其 宽 度 为 1 2 8 字 节 简 化 后 的 函 数 ， 如 下 结 果 f i e l d _ 8 f i e l d _ 1 0 N e w b u f N e w
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理