搜索

[11946] 2017-10-29_DanceInHeap（四）：一些堆利用的方法（下）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-10-29_DanceInHeap（四）：一些堆利用的方法（下） D a n c e   I n   H e a p （ 四 ） ： 一 些 堆 利 用 的 方 法 （ 下 ） h e l l o w u z e k a i   F r e e B u f   2 0 1 7 - 1 0 - 2 9 * 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 0 x 0 0   前 面 的 话 前 面 的 话 本 篇 文 章 是 系 列 的 最 后 一 篇 ， 主 要 分 析 一 下 本 篇 文 章 是 系 列 的 最 后 一 篇 ， 主 要 分 析 一 下 H o u s e 系 列 的 几 个 典 型 漏 洞 ， 关 于 堆 利 用 的 后 续 学 习 ， 大 家 可 以 关 系 列 的 几 个 典 型 漏 洞 ， 关 于 堆 利 用 的 后 续 学 习 ， 大 家 可 以 关 注 注   s h e l l p h i s h   团 队 的 团 队 的   h o w 2 h e a p   项 目 ， 有 精 力 的 可 以 结 合 源 码 详 细 了 解 堆 的 机 制 并 从 中 找 出 利 用 的 点 。 项 目 ， 有 精 力 的 可 以 结 合 源 码 详 细 了 解 堆 的 机 制 并 从 中 找 出 利 用 的 点 。 本 篇 文 章 目 录 ： 0 x 0 1   H o u s e   o f   s p i r i t 0 x 0 2   H o u s e   o f   l o r e 0 x 0 3   H o u s e   o f   f o r c e 0 x 0 4   结 语 0 x 0 1   H o u s e   o f   s p i r i t 假 设 我 们 可 以 在 栈 上 伪 造 出 一 个 c h u n k 结 构 ， 那 么 我 们 可 不 可 以 利 用 f r e e 来 释 放 ， 再 次 m a l l o c 得 到 这 个 c h u n k 呢 ？ H o u s e o f   s p i r i t 就 是 这 个 思 路 ， 当 我 们 在 栈 上 伪 造 出   c h u n k ， 并 绕 过 检 查 的 话 ， 那 么 就 可 以 实 现 首 先 我 们 需 要 伪 造 c h u n k ， 但 是 要 记 住 ， 在 f r e e 执 行 的 时 候 ， 会 有 一 步 检 查 ， 检 查 下 一 个 c h u n k 的 s i z e 是 否 大 于 2 * s i z e o f ( s i z e _ t ) ， 并 且 小 于 所 有 分 配 的 空 间 ， 所 以 我 们 需 要 构 造 两 个 s i z e 位 。 我 们 假 设 栈 上 有 一 个 数 组 可 以 填 充 数 据 我 们 开 始 构 造 要 f r e e 的 c h u n k 的 s i z e 然 后 为 了 绕 过 检 查 ， 需 要 在 这 个 c h u n k 后 面 紧 跟 一 个 c h u n k ， 设 置 其 s i z e 位 然 后 我 们 把   f a k e _ c h u n k s [ 2 ]   的 地 址 作 为 参 数 调 用 f r e e 此 时 再 进 行 m a l l o c 就 可 以 得 到 该 处 的 c h u n k u n s i g n e d   l o n g   l o n g   f a k e _ c h u n k s [ 1 0 ] ; f a k e _ c h u n k s [ 1 ]   =   0 x 4 0 ;
0 x 0 2   H o u s e   o f   l o r e 在 前 面 的   H o u s e   o f   s p i r i t   中 ， 我 们 尝 试 在 栈 上 伪 造 了 一 个   c h u n k ， 那 么 接 下 来 在   H o u s e   o f   l o r e   中 ， 我 们 将 尝 试 伪 造 一 条   s m a l l b i n 链 表 ， 注 意 看 ， 这 里 会 用 到 我 们 在 第 一 篇 中 讲 过 的   m a l l o c 分 配 流 程 的 内 容 。 首 先 我 们 需 要 创 建 两 个 c h u n k ， 第 一 个 用 于 进 入 s m a l l b i n 中 ， 第 二 个 用 来 防 止 f r e e 后 被 t o p   c h u n k 合 并 接 下 来 我 们 要 将 这 个   v i c t i m   送 入   s m a l l b i n   中 。 我 们 先 将 其 f r e e 掉 ， 现 在 它 位 于 u n s o r t e d b i n 中 接 下 来 ， 我 们 再 次 申 请 一 个 s i z e 位 于 l a r g e b i n 中 ， 并 且 在 u n s o r t e d b i n 中 没 有 与 其 匹 配 的 c h u n k ， 所 以 我 们 需 要 一 个 大 值 。 设 想 一 下 ， 接 下 来 会 发 生 什 么 ？ 系 统 依 次 找 完   f a s t b i n 、 s m a l l b i n 、 u n s o r t e d b i n 后 发 现 找 不 到 这 个 s i z e 的 c h u n k ， 接 下 来 会 把 u n s o r t e d b i n 中 的 c h u n k 加 入 到 s m a l l b i n 或 者 l a r g e b i n 中 ， 这 时 ， 我 们 的 v i c t i m 就 成 功 进 入 s m a l l b i n 中 了 。 现 在 我 们 假 设 可 以 控 制   v i c t i m 的 f d 、 b k 指 针 ， 我 们 就 可 以 在 栈 上 伪 造 出 一 个 s m a l l b i n 的 链 表 那 么 我 们 再 次 m a l l o c 时 ， 就 可 以 从 s m a l l b i n 的 链 表 末 尾 取 c h u n k 了 而 当 我 们 在 栈 上 创 造 出   c h u n k   后 ， 就 可 以 向 c h u n k 中 写 入 来 覆 盖 返 回 地 址 控 制 e i p ， 甚 至 绕 过   c a n a r y 检 查 。 0 x 0 3   H o u s e   o f   f o r c e 在   H o u s e   o f   f o r c e   中 ， 我 们 这 样 设 想 ， 如 果 我 们 能 够 将 t o p   c h u n k 的 s i z e 覆 盖 为 一 个 巨 大 的 值 ， 是 否 就 可 以 实 现 m a l l o c 从 堆 直 接 到 . b s s 段 、 到 栈 ？ 我 们 首 先 创 建 一 个   c h u n k ， 紧 跟 着 这 个 c h u n k 的 就 是 t o p   c h u n k 我 们 设 法 溢 出 到 t o p   c h u n k 那 么 现 在 t o p   c h u n k   的 s i z e   就 是   0 x f f f f f f f f f f f f f f f f ， 现 在 我 们 可 以 计 算 一 下 从 t o p   c h u n k 的 起 始 地 址 到 我 们 要 覆 盖 的 地 址 f r e e ( v i c t i m ) ; m a l l o c ( 1 2 0 0 ) ; v o i d   * p 3   =   m a l l o c ( 1 0 0 ) ; p   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; * ( p + 0 x f 8 )   =   - 1 ;
之 间 的 距 离 ， 然 后 m a l l o c 一 个 巨 大 的 c h u n k 填 充 这 一 段 距 离 ， 然 后 再 次 m a l l o c 一 个 小 c h u n k ， 向 小 c h u n k 中 写 入 数 据 就 可 以 改 变 这 里 的 值 。 0 x 0 4   结 语 结 语 D a n c e   I n   H e a p   系 列 教 程 到 这 里 就 要 结 束 了 ， 这 个 系 列 算 是 把 我 最 近 一 段 时 间 的 学 习 做 了 一 个 简 单 的 总 结 ， 当 然 ， 想 写 的 要 远 比 实 际 写 上 去 的 多 ， 堆 利 用 的 方 法 有 很 多 ， 我 只 是 挑 了 几 个 相 对 基 础 的 利 用 方 式 ， 结 合 堆 的 一 些 机 制 较 为 详 细 的 讲 解 一 下 ， 仅 供 入 门 参 考 ， 能 够 理 解 完 这 些 ， 对 一 些 比 较 复 杂 的 漏 洞 也 能 够 去 试 着 了 解 。 这 里 面 许 多 漏 洞 是 结 合 h o w 2 h e a p   项 目 中 的 实 例 讲 解 的 ， 有 时 间 的 话 大 家 可 以 去   h o w 2 h e a p   看 看 。 这 篇 教 程 写 的 太 匆 忙 ， 里 面 如 果 有 错 误 纰 漏 ， 欢 迎 大 家 指 出 ， 一 同 进 步 ， 谢 谢 。 * 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理