搜索

[11943] 2017-10-28_DanceInHeap（三）：一些堆利用的方法（中）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-10-28_DanceInHeap（三）：一些堆利用的方法（中） D a n c e   I n   H e a p （ 三 ） ： 一 些 堆 利 用 的 方 法 （ 中 ） h e l l o w u z e k a i   F r e e B u f   2 0 1 7 - 1 0 - 2 8 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 0 x 0 0   前 面 的 话 前 面 的 话 在 前 一 篇 堆 的 利 用 方 法 里 面 ， 我 们 简 单 的 提 了 一 下 在 前 一 篇 堆 的 利 用 方 法 里 面 ， 我 们 简 单 的 提 了 一 下 U A F ， 并 主 要 对 从 ， 并 主 要 对 从   b i n   中 释 放 中 释 放   c h u n k   的 操 作 ， 即 的 操 作 ， 即   u n l i n k 宏 、 宏 、 u n s o r t e d b i n   a t t a c k ， 进 行 了 利 用 。 那 么 在 本 篇 中 ， 我 们 主 要 讨 论 如 何 将 对 一 个 对 一 个 ， 进 行 了 利 用 。 那 么 在 本 篇 中 ， 我 们 主 要 讨 论 如 何 将 对 一 个 对 一 个 c h u n k 进 行 复 用 来 进 进 行 复 用 来 进 行 某 种 攻 击 。 行 某 种 攻 击 。 在 这 里 面 我 们 要 当 心 ， c h u n k   s i z e 的 计 算 是 个 需 要 小 心 的 地 方 ， 因 为 这 里 包 括 了   p r e v _ s i z e 的 复 用 ， 以 及 根 据 不 同 系 统 考 虑 的 对 齐 情 况 ， 还 有   c h u n k   的 s i z e 位 表 示 的 是 包 括 c h u n k   h e a d e r 在 内 的 s i z e ， 而 实 际 可 用 的 s i z e 与 此 不 同 ， 它 是 减 去 c h u n k   h e a d e r 后 的 大 小 。 本 篇 文 章 目 录 0 x 0 1   f a s t b i n   a t t a c k 还 记 不 记 得 我 们 在 第 一 篇 中 那 个 介 绍   f a s t b i n   中   d o b u l e   f r e e 的 例 子 这 个 运 行 是 没 有 问 题 的 ， 但 是 想 象 一 下 ， 这 样 做 之 后 ， 现 在 的   f a s t b i n   中 是 什 么 样 子 其 中 的 指 向 关 系 由 c h u n k 的   f d   指 针 标 识 。 此 时 我 们 再 从   f a s t b i n 中   m a l l o c   出 一 个   c h u n k 此 时 的   f a s t b i n 现 在 我 们 得 到 了 一 个 c h u n k ， 并 且 这 个   c h u n k   同 时 在   f a s t b i n 中 也 存 在 ， 那 么 此 时 如 果 我 们 修 改   c   的   f d   指 针 位 置 为 任 意 地 址 ， 那 么   f a s t b i n   中   a   的 指 向 也 会 发 生 改 变 我 们 之 后 连 续   m a l l o c   两 次 0 x 0 1   f a s t b i n   a t t a c k 0 x 0 2   o v e r l a p p i n g   c h u n k   1 0 x 0 3   o v e r l a p p i n g   c h u n k   2 0 x 0 4   小 结 # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d l i b . h > i n t   m a i n ( )   {         c h a r   * a = m a l l o c ( 2 4 ) ;         c h a r   * b = m a l l o c ( 2 4 ) ;         f r e e ( a ) ;         f r e e ( b ) ;         f r e e ( a ) ; }     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -         - - - - - - -   |   头 结 点   | - >   |       a       | - >   |       b       | - >   |       a       | - > |     n u l l   |     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -         - - - - - - - c   =   m a l l o c ( 2 4 ) ;     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -   |   头 结 点   | - >   |       b       | - >   |       a       | - >   |     n u l l   |     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -   |   头 结 点   | - >   |       b       | - >   |       a       | - >   | 任 意 地 址 |     - - - - - - -           - - - - - - -           - - - - - - -           - - - - - - -
现 在 的   f a s t b i n 那 我 们 再 次   m a l l o c   时 ， 就 可 以 在 任 意 地 址 创 建 一 个   c h u n k   了 ， 但 是 要 注 意 的 是 ， 我 们 在 之 前 提 到 过 ， 从   f a s t b i n   中 取 出   c h u n k   的 时 候 会 对   c h u n k   的 s i z e   做 检 查 ， 也 就 是 这 个 任 意 位 置 的   c h u n k   的   s i z e   位 必 须 构 造 。 我 们 可 以 在 栈 中 构 造 这 个 变 量 作 为 s i z e 位 ， 我 们 可 以 将 任 意 地 址 填 充 为   & s t a c k   -   8 ， 然 后   m a l l o c   之 后 会 返 回 这 个 地 址 的   c h u n k ， 在 栈 中 变 量 无 法 溢 出 时 ， 我 们 可 以 向   c h u n k   里 面 写 入 数 据 来 造 成 栈 溢 出 。 f a s t b i n   a t t a c k   中 令 人 兴 奋 的 一 点 是 ， 它 不 需 要 对   c h u n k   进 行 溢 出 就 可 以 进 行 攻 击 ， 这 在 一 些 对 输 入 长 度 检 查 严 格 的 地 方 可 以 得 到 奇 妙 的 应 用 。 0 x 0 2   o v e r l a p p i n g   c h u n k   1 幸 运 的 是 ， 并 不 是 所 有 的 程 序 都 会 对 输 入 长 度 有 严 格 的 约 束 ， 当 我 们 能 够 溢 出 到 下 一 个   c h u n k   时 ， 我 们 可 以 修 改 它 的 s i z e   位 来 造 成   c h u n k   的 覆 盖 。 首 先 ， 我 们 创 建 三 个 c h u n k , 考 虑   p r e v _ s i z e   的 复 用 和   0 x 1 0 字 节 对 齐 ， 我 们 将   m a l l o c ( 0 x 1 0 0 - 8 ) ,   系 统 会 给 我 们 ( 0 x 1 0 0 - 8 ) + 0 x 1 0 - 0 x 8 , 即 0 x 1 0 0 ( 0 x 1 0 对 齐 ) 的 空 间 ， 实 际 可 用 的 空 间 正 好 是 0 x 1 0 0 - 8 ， 并 没 有 多 分 配 ， 而 要 是 m a l l o c ( 0 x 1 0 0 ) 的 话 ， 你 会 看 到 实 际 可 用 的 空 间 是 0 x 1 0 8 （ 这 个 不 是 必 须 的 ， 只 是 向 大 家 强 调 一 下   c h u n k   大 小 的 计 算 ） 然 后   f r e e   掉   b ， b 就 会 放 到   u n s o r t e d b i n   中   ， 这 个 b i n 只 有 一 个 链 表 ， 并 不 对 s i z e 进 行 区 分 ， 所 以 我 们 可 以 放 入 0 x 1 0 0 的 c h u n k ， 修 改 为 s i z e 为 0 x 1 8 0 后 就 可 以 拿 出 0 x 1 8 0 的 c h u n k 然 后 我 们 利 用 a 溢 出 到 b 的 s i z e 位 现 在 我 们 m a l l o c 一 个 0 x 1 8 0 的   c h u n k ， 系 统 就 会 将 从 b 开 始 的 0 x 1 8 0 大 小 的 空 间 返 还 ， 这 其 中 包 括 c o k ， 现 在 我 们 就 可 以 更 改 利 用 d 更 改 c 中 的 内 容 ， 如 果 c 中 包 含 某 个 函 数 指 针 ， 我 们 也 可 以 去 改 变 它 , 当 然 0 x 0 3   o v e r l a p p i n g   c h u n k   2 我 们 在 前 面 先 释 放 再 修 改 s i z e 来 获 得 了 一 个 覆 盖 掉 后 面 c h u n k   的   c h u n k ， 那 么 如 果 我 们 先 修 改 s i z e 为 一 个 大 值 ， 然 后 f r e e 会 怎 样 呢 ？ 首 先 我 们 创 建 4 个 c h u n k m a l l o c ( 2 4 ) ; m a l l o c ( 2 4 ) ;     - - - - - - -           - - - - - - -   |   头 结 点   | - >   | 任 意 地 址 |     - - - - - - -           - - - - - - - i n t   s t a c k   =   0 x 3 0   / /   2 4   +   h e a d e r   =   0 x 2 8   ， 0 x 1 0   对 齐 后   0 x 3 0 d   =   m a l l o c ( 2 4 ) ; d [ 2 0 ]   =   0 x d e a d b e e f   / / 控 制 r i p a   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; b   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; c   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; f r e e ( b ) ; * ( a + 0 x f 8 )   =   0 x 1 8 1   / /   0 x 0 1 标 识 a 为 i n u s e 状 态 d   =   m a l l o c ( 0 x 1 8 0 - 8 ) ;
我 们 通 过 a 溢 出 到 b 的 s i z e 我 们 这 里 讲 b 的 s i z e 扩 大 到 了 c ， 由 于 f r e e 时 需 要 检 查 下 一 个 c h u n k 的 s i z e ， 所 以 我 们 预 留 了 d ， 并 且 防 止 f r e e 后 直 接 与 t o p c h u n k 合 并 ， 之 后 我 们 f r e e 掉 b ， 然 后 再 次 m a l l o c 就 又 包 括 了 c 然 后 就 可 以 可 以 像 0 x 0 2 一 样 去 利 用 。 0 x 0 4   小 结 小 结 除 了 这 些 之 外 ， 我 们 还 可 以 根 据 不 同 的 条 件 去 构 造 不 同 的 c h u n k 复 用 ， 像 是 只 利 用 一 个 字 节 溢 出 （ o f f - b y - o n e ） 来 使 c h u n k   s i z e 减 小 ， 以 此 来 构 造 的 p o i s o n _ n u l l _ b y t e   漏 洞 等 等 。 了 解 c h u n k 复 用 的 原 理 ， 就 是 去 改 变   s i z e   位 来 使 系 统 对 错 误 的 长 度 进 行   m a l l o c 、 f r e e ， 这 就 是 我 们 的 目 的 。 * 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文 a   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; b   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; c   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; d   =   m a l l o c ( 0 x 1 0 0 - 8 ) ; / /   第 四 个 为 了 防 止 被 t o p   c h u n k   合 并 ， 以 及 应 对   f r e e 的 检 查 * ( a + 0 x f 8 )   =   0 x 2 0 1   / /   0 x 1 为 i n u s e 标 识 f r e e ( p ) ; e   =   m a l l o c ( 0 x 2 0 0 - 8 ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理