搜索

[12110] 2017-12-10_浅析Windows下堆的结构

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-12-10_浅析Windows下堆的结构 浅 析 W i n d o w s 下 堆 的 结 构 h e l l o w u z e k a i   F r e e B u f   2 0 1 7 - 1 2 - 1 0 * 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 简 介 简 介 W i n d o w s 下 的 堆 主 要 有 两 种 ， 进 程 的 默 认 堆 和 自 己 创 建 的 私 有 堆 。 在 程 序 启 动 时 ， 系 统 在 刚 刚 创 建 的 进 程 虚 拟 下 的 堆 主 要 有 两 种 ， 进 程 的 默 认 堆 和 自 己 创 建 的 私 有 堆 。 在 程 序 启 动 时 ， 系 统 在 刚 刚 创 建 的 进 程 虚 拟 地 址 空 间 中 创 建 一 个 进 程 的 默 认 堆 ， 而 且 程 序 也 可 以 通 过 地 址 空 间 中 创 建 一 个 进 程 的 默 认 堆 ， 而 且 程 序 也 可 以 通 过   H e a p C r e a t e   函 数 来 调 用 函 数 来 调 用   n t d l l   中 的 中 的 R t l C r e a t e H e a p 来 创 建 自 己 的 私 有 堆 ， 所 以 一 个 进 程 中 可 以 存 在 多 个 堆 。 来 创 建 自 己 的 私 有 堆 ， 所 以 一 个 进 程 中 可 以 存 在 多 个 堆 。 虽 说 这 两 种 堆 名 称 不 同 ， 但 是 其 本 质 是 相 同 的 ， 区 别 的 只 是 返 回 的 句 柄 不 同 ， 私 有 堆 虽 然 名 字 是 私 有 ， 但 并 不 是 只 能 在 创 建 它 的 线 程 中 使 用 ， 如 果 得 到 它 的 句 柄 ， 在 其 他 线 程 中 也 可 使 用 。 堆 的 信 息 堆 的 信 息 堆 的 相 关 信 息 可 以 在 / P E B ( 进 程 环 境 块 ) 中 看 到 我 们 需 要 注 意 的 是 上 面 几 个 偏 移 位 置 的 信 息
0 x 1 8   默 认 堆 的 地 址 0 x 7 8   默 认 堆 的 默 认 大 小 0 x 7 c   默 认 堆 的 初 始 提 交 大 小 0 x 8 0   与 堆 释 放 有 关 的 阈 值 0 x 8 4   与 堆 释 放 有 关 的 阈 值 0 x 8 8   程 序 中 堆 的 数 量 0 x 8 c   程 序 中 最 大 的 堆 的 数 量 0 x 9 0   存 储 所 有 堆 地 址 的 数 组 只 有 当 本 次 释 放 时 1 .   本 次 释 放 的 堆 块 大 小 超 过 了 _ P E B 中 的 H e a p D e C o m m i t F r e e B l o c k T h r e s h o l d 字 段 的 值 。 2 .   空 闲 空 间 的 总 大 小 超 过 了 _ P E B 中 的 e a p D e C o m m i t T o t a l F r e e T h r e s h o l d 字 段 的 值 。 堆 管 理 器 才 会 将 该 内 存 交 还 给 内 存 管 理 器 ， 否 则 继 续 由 堆 管 理 器 管 理 查 看 一 下 所 有 堆 的 地 址 可 以 看 到 进 程 中 四 个 堆 的 地 址 ， 同 样 使 用 ! h e a p   - h 来 看 一 下 堆 的 结 构 堆 的 结 构 上 面 我 们 通 过   P E B   查 看 了 进 程 中 堆 的 一 些 信 息 。 在   W i n d o w s   的 堆 中 管 理 着 许 多 的 堆 段   ( S e g m e n t ) ， 在 堆 创 建 时 同 时 创 建 第 一 个 堆 段 ， 称 为   0   号 段 ， 之 后 如 果 一 个 段 不
够 ， 如 果 指 明 了   H E A P _ G R O W A B L E   标 志 ， 会 创 建 其 他 的 堆 段 ， 但 是 最 多 有   6 4   个 堆 段 ， 而 这 一 个 个 堆 段 ， 正 是 由 堆 块   (   类 似 于   l i n u x   的   C h u n k )   构 成 。 堆 堆 现 在 选 其 中 一 个 堆 ， 我 们 来 看 一 下 堆 的 详 细 结 构
注 意 这 几 个 偏 移 位 置 0 x 1 4   最 大 分 配 内 存 ， 超 过 此 大 小 就 交 由 内 存 管 理 器 分 配 0 x 2 c   最 大 申 请 大 小 0 x 5 0   管 理 由 内 存 管 理 器 分 配 内 存 的 链 表 0 x 5 8   该 堆 中 堆 段 数 组 0 x 1 7 8   管 理   1 2 8   个 空 闲 堆 块 的 双 向 链 表 头 指 针 0 x 5 8 0   指 向 前 端 分 配 器 在   0 x 1 4   偏 移 处 的 值 的 单 位 是   8 b y t e ， 也 就 是 最 大 申 请 大 小 为   0 x f e 0 0   *   8   =   5 0 8 k B ， 由 于 申 请 内 存 时 堆 块 的 头 部 需 要 占 用   8   字 节 ， 所 以 最 大 申 请 大 小   =   最 大 分 配 大 小   -   8 B 看 一 下 偏 移   0 x 1 7 8   处 可 以 看 到   H E A P   结 构 维 护 的 是   L I S T _ E N T R Y   指 针 ， 该 指 针 指 向 的 正 是 双 向 链 表 的 头 指 针 结 构 堆 段 堆 段
同 样 看 一 下   0 x 5 8   处 的   S e g m e n t s 注 意 这 几 个 偏 移 位 置 0 x 0 0   存 储 该 堆 段 所 有 堆 块 0 x 1 0   记 录   _ H E A P   结 构 的 地 址 0 x 1 8   维 护 该 段 的 基 址 0 x 2 0   第 一 个 堆 块 地 址 堆 块 堆 块 查 看 堆 块 的 结 构
注 意 这 几 个 偏 移 位 置 0 x 0 0   本 堆 块 的 大 小 0 x 0 2   前 一 堆 块 的 大 小 0 x 0 5   标 志 位 0 x 0 6   由 于 对 齐 原 因 多 分 配 的 字 节 数 0 x 0 7   所 属 的   s e g m e n t   号 F l a g s   的 标 志 位 有 下 面 几 种 情 形 0 x 0 1   该 块 处 于 占 用 状 态 0 x 0 2   该 块 存 在 额 外 描 述 0 x 0 4   使 用 固 定 模 式 填 充 堆 块 0 x 0 8   虚 拟 分 配 0 x 1 0   该 段 最 后 一 个 堆 块 我 们 可 以 看 到 堆 块 的 结 构 相 比 较 于 L i n u x 下 的 C h u n k 结 构 来 说 ， 首 先   p r e v _ s i z e   和   s i z e   的 位 置 调 换 了 一 下 ， 并 且 该 块 的 状 态 并 不 在 下 一 块 的   s i z e   位 中 保 存 ， 而 是 在 本 块 的   F l a g s   位 保 存 ， 这 对 我 们 的 漏 洞 利 用 提 出 了 新 的 要 求 。 实 例 观 测 私 有 堆 实 例 观 测 私 有 堆 编 译 下 面 的 代 码 并 使 用   W i n D B G   调 试
首 先 在   m a i n   函 数 下 断 点 ， 运 行 单 步 调 试 到   H e a p C r e a t e   函 数 返 回 ， 通 过   e a x   返 回 值 观 察 堆 结 构 ， 也 可   ! h e a p   查 看 这 里 返 回 的   e a x ， 即 h H e a p 句 柄 值 为 3 a 0 0 0 0
继 续 单 步 调 试 到   H e a p A l l o c   函 数 返 回 ， 得 到 这 次 申 请 的 堆 块 地 址 为   0 x 3 a 6 5 0 0
由 于 返 回 的 地 址 是 加 上 堆 块 头 的 地 址 ， 所 以 查 看 堆 块 结 构 时 减 去   8 b y t e 可 以 了 解 到 此 堆 块 大 小 为   0 x 8 2 * 8   b y t e ， 属 于 堆 段   0 ， 并 且 多 分 配 了   0 x 1 c   字 节 ， F l a g s 位 表 示 该 块 占 用 ， 有 额 外 描 述 并 且 被   ‘ b a a d f 0 0 d ’   填 充 继 续 单 步 执 行 到   H e a p F r e e   函 数 返 回 ， 再 次 观 察 该 堆 块
注 意 到 填 充 发 生 了 变 化 ， 对 于 已 释 放 的 堆 块 ， 结 构 体 为   H e a p _ F r e e _ E n t r y , 相 较 于   H e a p _ E n t r y   多 了 两 个 空 闲 链 表 的 指 针 这 里 的 堆 块 由 于   f r e e   后 合 并 ， 所 以   s i z e   变 成 了 合 并 后 的 值 堆 的 管 理 堆 的 管 理 在   W i n d o w s   中 堆 的 申 请 回 收 使 用 了 两 种 分 配 器 ， 分 别 叫 做 前 端 分 配 器 和 后 端 分 配 器 ， 当 进 程 发 起 申 请 堆 的 请 求 时 ， 首 先 由 前 端 分 配 器 处 理 ， 如 果 处 理 不 了 的 话 在 交 由 后 端 分 配 器 处 理 ， 在 这 点 上 前 端 分 配 器 有 点 类 似 于   L i n u x   下 的 F a s t B i n ， 后 端 分 配 器 类 似 于   U n s o r t e d B i n , S m a l l B i n , L a r g e B i n   组 成 的   B i n   数 组 W i n d o w s   提 供 了 两 种 前 端 分 配 器 ， 分 别 为 旁 视 列 表 （ L A L ） 和 低 碎 片 ( L F ) 前 端 分 配 器 ， 其 中 前 者 在   V i s t a   之 后 的 版 本 中 不 再 使 用 小 结 小 结 这 篇 文 章 主 要 分 析 了   W i n d o w s   下 不 同 于   L i n u x   的 堆 的 结 构 ， 而   W i n d o w s   下 堆 的 申 请 回 收 类 似 于   L i n u x ， 详 情 可 以 查 看 我 的 D a n c e   I n   H e a p 系 列 文 章 。 * 本 文 原 创 作 者 ： h e l l o w u z e k a i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理