设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [28315] 2020-05-24_pwn的艺术浅谈（二）：linux堆相关 ...
返回列表 发新帖
查看: 1|回复: 0

[28315] 2020-05-24_pwn的艺术浅谈（二）：linux堆相关

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2020-05-24_pwn的艺术浅谈（二）：linux堆相关 p w n 的 艺 术 浅 谈 （ 二 ） ： l i n u x 堆 相 关 天 融 信 响 应 中 心   O t s 安 全   2 0 2 0 - 0 5 - 2 4 这 是 l i n u x   p w n 系 列 的 第 二 篇 文 章 ， 前 面 一 篇 文 章 我 们 已 经 介 绍 了 栈 的 基 本 结 构 和 栈 溢 出 的 利 用 方 式 ， 堆 漏 洞 的 成 因 和 利 用 方 法 与 栈 比 起 来 更 加 复 杂 ， 为 此 ， 我 们 这 篇 文 章 以 s h e l l p h i s h 的 h o w 2 h e a p 为 例 ， 主 要 介 绍 l i n u x 堆 的 相 关 数 据 结 构 和 堆 漏 洞 的 利 用 方 式 ， 供 大 家 参 考 。 0 . 前 置 知 识 前 置 知 识 0 . 0   编 译 编 译 + p a t c h 方 法 方 法 h o w 2 h e a p 源 码 地 址 h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p ， 为 了 方 便 调 试 编 译 时 使 用 g c c   - g   - f n o - p i e   x x . c   – o   x x 。 这 里 先 介 绍 一 种 l i n u x 下 p a t c h 文 件 加 载 指 定 版 本 l i b c 的 方 法 ， p a t c h e l f   – s e t - i n t e r p r e t e r   < l i b c _ l d >   < e l f _ n a m e > 设 置 e l f 启 动 时 使 用 指 定 l d . s o （ e l f 文 件 在 启 动 时 l d . s o 查 找 并 加 载 程 序 所 需 的 动 态 链 接 对 象 ， 加 载 完 毕 后 启 动 程 序 ， 不 同 l i b c 版 本 需 要 不 同 的 加 载 器 ， 不 同 版 本 l i b c 和 加 载 器 下 载 地 址 h t t p s : / / g i t h u b . c o m / 5 N 1 p 3 R 0 0 1 0 / l i b c - l d . s o ） ， 然 后 p a t c h e l f   – s e t - r p a t h   < l i b c _ p a r e n t _ f o l d e r > : / < l i b c _ n a m e >   < e l f _ n a m e > 设 置 e l f 启 动 时 加 载 指 定 l i b c 。 编 译 + p a t c h 示 例 0 . 1   l i n u x 堆 管 理 简 图 及 源 码 地 址 L i n u x   p t m a l l o c 堆 内 存 管 理 未 加 t c a c h e 机 制 的 一 张 简 图 如 下 （ I   i s   s o   v e g e t a b l e ， 图 片 太 大 了 上 传 不 了 高 清 图 片 ， 贴 个 无 码 地 址 h t t p s : / / g i t h u b . c o m / 5 N 1 p 3 R 0 0 1 0 / m y _ p w n / b l o b / m a s t e r / h e a p . p n g ） ， l i n u x   m a l l o c . c 源 码 地 址 h t t p s : / / c o d e . w o b o q . o r g / u s e r s p a c e / g l i b c / m a l l o c / m a l l o c . c . h t m l 0 . 2   l i n u x 堆 的 数 据 结 构 堆 的 数 据 结 构 0 . 2 . 1 堆 块 数 据 结 构 堆 块 数 据 结 构 首 先 介 绍 下 l i n u x 下 堆 的 基 本 数 据 结 构 。
各 字 段 含 义 如 下 ： 各 字 段 含 义 如 下 ： 0 . m c h u n k _ p r e v _ s i z e 。 当 当 前 堆 物 理 相 邻 的 前 一 个 堆 为 空 闲 状 态 时 m c h u n k _ p r e v _ s i z e 记 录 前 一 个 空 闲 堆 的 大 小 ， 当 当 前 堆 物 理 相 邻 的 前 一 个 堆 为 占 用 状 态 时 m c h u n k _ p r e v _ s i z e 可 用 于 存 储 前 一 个 堆 的 数 据 。 1 . m c h u n k _ s i z e ， 记 录 当 前 堆 包 含 堆 头 的 大 小 ， 堆 的 大 小 在 申 请 时 会 进 行 对 齐 ， 对 齐 后 堆 的 大 小 为 2 * s i z e _ t 的 整 数 倍 ， s i z e _ t 为 机 器 字 长 。 m c h u n k _ s i z e 的 低 三 比 特 位 对 堆 的 大 小 没 有 影 响 ， p t m a l l o c 用 它 来 记 录 当 前 堆 的 状 态 ， 三 个 比 特 位 从 高 到 低 依 次 ： N O N _ M A I N _ A R E N A ， 记 录 当 前 堆 是 否 不 属 于 主 线 程 ， 1   表 示 不 属 于 ， 0   表 示 属 于 。 I S _ M A P P E D ， 记 录 当 前 堆 是 否 是 由   m m a p   分 配 的 。 P R E V _ I N U S E ， 记 录 前 一 个 堆 是 否 被 分 配 。 2 . f d 、 b k ， 堆 处 于 分 配 状 态 时 ， 堆 结 构 体 偏 移 f d 的 位 置 存 储 数 据 ； 堆 处 于 空 闲 状 态 时 ， f d 、 b k 分 别 记 录 物 理 相 邻 的 前 一 空 闲 堆 、 物 理 相 邻 的 后 一 空 闲 堆 ， 即 用 于 对 应 空 闲 链 表 的 管 理 3 . f d _ n e x t s i z e 、 b k _ n e x t s i z e ， l a r g e   c h u n k 处 于 空 闲 状 态 时 使 用 ， 分 别 用 于 记 录 前 一 个 与 当 前 堆 大 小 不 同 的 第 一 个 空 闲 堆 、 后 一 个 与 当 前 堆 大 小 不 同 的 第 一 个 空 闲 堆 0 . 2 . 2   空 闲 链 表 空 闲 链 表 理 解 p t m a l l o c 堆 漏 洞 利 用 的 另 一 个 比 较 重 要 的 结 构 体 是 b i n ， 为 了 节 省 内 存 分 配 开 销 ， 用 户 释 放 掉 的 内 存 并 不 会 马 上 返 还 给 系 统 ， 而 是 保 存 在 相 应 的 空 闲 链 表 中 以 便 后 续 分 配 使 用 。 P t m a l l o c 使 用 的 空 闲 链 表 b i n 有 四 种 ， f a s t b i n 、 s a m l l b i n 、 l a r g e b i n 、 u n s o r t e d b i n   ， 一 个 好 的 内 存 分 配 器 应 该 是 内 存 碎 片 少 、 且 能 在 较 低 算 法 复 杂 度 和 较 少 内 存 分 配 次 数 的 情 况 下 满 足 用 户 使 用 内 存 （ 申 请 和 释 放 ） 的 需 求 ， 四 种 b i n 的 实 现 就 体 现 了 这 种 思 想 。
为 了 减 少 内 存 碎 片 ， p t m a l l o c 在 释 放 当 前 堆 c u r _ c h u n k 时 会 检 测 c u r _ c h u n k 的 p r e v _ i n u s e 位 （ 标 识 物 理 相 邻 前 一 个 堆 （ 物 理 低 地 址 ） 是 否 处 于 空 闲 状 态 ） 和 c u r _ c h u n k 的 物 理 相 邻 下 一 个 堆 是 否 是 t o p _ c h u n k 、 物 理 相 邻 下 一 个 堆 的 p r e v _ i n u s e 位 。 若 c u r _ c h u n k 的 p r e v _ i n u s e 位 为 0 则 合 并 后 向 堆 并 将 后 向 堆 的 地 址 作 为 新 的 合 并 后 的 堆 的 起 始 地 址 ； 若 c u r _ c h u n k 的 物 理 相 邻 下 一 个 堆 的 p r e v _ i n u s e 位 为 0 则 进 行 前 向 合 并 并 将 c u r _ c h u n k 的 地 址 作 为 新 的 合 并 后 的 堆 的 起 始 地 址 。 若 待 释 放 的 c u r _ c h u n k 的 物 理 相 邻 下 一 个 堆 为 t o p _ c h u n k 则 将 c u r _ c h u n k 和 t o p _ c h u n k 合 并 ， 并 将 c u r _ c h u n k 的 地 址 作 为 新 的 t o p _ c h u n k 起 点 。
P t m a l l o c 堆 的 一 些 参 数 0 ） ）   f a s t b i n f a s t b i n 是 保 存 一 些 较 小 堆 （ 3 2 位 系 统 默 认 不 超 过 6 4 字 节 ， 6 4 位 系 统 默 认 不 超 过 1 2 8 字 节 ） 的 单 链 表 结 构 。 由 于 f a s t b i n 中 相 同 i n d e x 链 接 的 都 是 相 同 大 小 的 堆 ， p t m a l l o c 认 为 不 同 位 置 的 相 同 大 小 的 堆 没 有 区 别 ， 因 此 f a s t b i n 使 用 l i f o 的 方 法 实 现 ， 即 新 释 放 的 堆 被 链 接 到 f a s t b i n 的 头 部 ， 从 f a s t b i n 中 申 请 堆 也 是 从 头 部 取 ， 这 样 就 省 去 了 一 次 遍 历 单 链 表 的 过 程 。 f a s t b i n 的 内 存 分 配 策 略 是 e x a c t   f i t ， 即 只 释 放 f a s t b i n 中 跟 申 请 内 存 大 小 恰 好 相 等 的 堆 。 1 ） ）   s m a l l b i n s m a l l b i n 中 包 含 6 2 个 循 环 双 向 链 表 ， 链 表 中 c h u n k 的 大 小 与 i n d e x 的 关 系 是 2 *   s i z e _ t *   i n d e x 。 由 于 s m a l l b i n 是 循 环 双 向 链 表 ， 所 以 它 的 实 现 方 法 是 f i f o ； s m a l l b i n 的 内 存 分 配 策 略 是 e x a c t   f i t 。
从 实 现 中 可 以 看 出 s m a l l b i n 链 接 的 c h u n k 中 包 含 一 部 分 f a s t b i n 大 小 的 堆 ， f a s t b i n 范 围 的 堆 是 有 可 能 被 链 入 其 他 链 表 的 。 当 用 户 申 请 s m a l l b i n 大 小 的 堆 而 s m a l l b i n 又 没 有 初 始 化 或 者 申 请 大 于 s m a l l b i n 最 大 大 小 的 堆 时 ， f a s t b i n 中 的 堆 根 据 p r e v _ i n u s e 位 进 行 合 并 后 会 进 入 如 上 u n s o r t e d b i n 的 处 理 流 程 ， 符 合 s m a l l b i n 或 l a r g e b i n 范 围 的 堆 会 被 链 入 相 应 的 链 表 。 2 ） ）   l a r g e b i n l a r g e b i n 包 含 6 3 个 循 环 双 向 链 表 ， 每 个 链 表 链 接 的 都 是 一 定 范 围 大 小 的 堆 ， 链 表 中 堆 的 大 小 按 从 大 到 小 排 序 ， 堆 结 构 体 中 的 f d _ n e x t s i z e 和 b k _ n e x t s i z e 字 段 标 识 链 表 中 相 邻 l a r g e c h u n k 的 大 小 ， 即 f d _ n e x t s i z e 标 识 比 它 小 的 堆 块 、 b k _ n e x t s i z e 标 识 比 它 大 的 堆 块 。 对 于 相 同 大 小 的 堆 ， 释 放 的 堆 插 入 到 b i n 头 部 ， 通 过 f d 、 b k 与 其 他 的 堆 链 接 形 成 循 环 双 向 链 表 。 L a r g e b i n 的 分 配 策 略 是 b e s t   f i t ， 即 最 终 取 出 的 堆 是 符 合 申 请 内 存 的 最 小 堆 （ 记 为 c h u n k ） 。 若 取 出 的 c h u n k 比 申 请 内 存 大 至 少 m i n s i z e ， 则 分 割 c h u n k 并 取 合 适 大 小 的 剩 余 堆 做 为 l a s t   r e m a i n d e r ； 若 取 出 的 c h u n k 比 申 请 内 存 不 大 于 m i n s i z e ， 则 不 分 割 c h u n k 直 接 返 回 做 为 用 户 申 请 内 存 块 。 3 ） ）   u n s o r t e d b i n u n s o r t e d b i n 可 以 视 为 空 闲 c h u n k 回 归 其 所 属 b i n 之 前 的 缓 冲 区 ， 分 配 策 略 是 e x a c t   f i t 。 可 能 会 被 链 入 u n s o r t e d b i n 的 堆 块 是 申 请 l a r g e b i n 大 小 堆 块 切 割 后 的 l a s t   r e m a i n d e r ； 释 放 不 属 于 f a s t b i n 大 小 且 不 与 t o p c h u n k 紧 邻 的 堆 块 时 会 被 先 链 入 u n s o r t e d b i n ； 在 特 定 情 况 下 将 f a s t b i n 内 的 堆 合 并 后 会 进 入 u n s o r t e d b i n 的 处 理 流 程 （ 特 定 情 况 为 申 请 f a s t b i n 范 围 堆 f a s t b i n 为 空 ； 申 请 非 f a s t b i n 范 围 s m a l l b i n 的 堆 但 s m a l l b i n 未 初 始 化 ； 申 请 l a r g e c h u n k ） 1 . H O W 2 H E A P 调 试 调 试 1 . 0   F i r s t _ f i t
h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / f i r s t _ f i t . c 这 个 程 序 阐 释 了 g l i b c 分 配 内 存 的 一 个 策 略 ： f i r s t   f i t ， 即 从 空 闲 表 中 取 出 的 堆 是 第 一 个 满 足 申 请 内 存 大 小 的 堆 （ f a s t b i n 、 s m a l l b i n e x a c t   f i t ， l a r g e b i n   b e s t   f i t ） S h e l l p h i s h 给 出 的 例 子 中 先 申 请 了 0 × 5 1 2 和 0 × 2 5 6 大 小 的 两 个 堆 ， 然 后 释 放 掉 0 × 5 1 2 大 小 的 堆 （ 申 请 0 × 2 5 6 大 小 的 堆 的 作 用 是 避 免 释 放 不 是 m m a p 分 配 的 堆 a 的 时 候 合 并 到 t o p c h u n k ） ， 实 例 中 再 次 申 请 0 × 5 0 0 大 小 的 堆 由 于 l a r g e b i n 的 b e s t   f i t 分 配 策 略 g l i b c 会 分 割 堆 后 返 回 堆 a ， 即 堆 c 等 价 于 堆 a ， 这 时 我 们 输 出 堆 a 的 内 容 即 输 出 修 改 后 的 堆 c 的 内 容 。 g l i b c 的 f i r s t   f i t 分 配 策 略 可 用 于 u s e   a f t e r   f r e e ( u a f , 释 放 后 重 用 ) 的 利 用 ， 即 修 改 新 分 配 堆 的 内 容 等 价 于 修 改 被 释 放 的 堆 ， u a f 一 般 是 由 于 释 放 堆 后 指 针 未 置 零 造 成 的 ， 不 过 在 u a f 的 利 用 过 程 中 我 们 一 般 使 新 分 配 的 堆 的 大 小 等 于 被 释 放 的 堆 的 大 小 。 1 . 1   f a s t b i n _ d u p h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / f a s t b i n _ d u p . c f a s t b i n 下 d o u b l e f r e e 的 一 个 示 例 （ 未 加 t c a c h e 机 制 ） 。 S h e l l p h i s h 给 出 的 例 子 中 先 申 请 了 3 个 0 × 8 大 小 的 堆 （ 同 样 地 申 请 c 的 原 因 是 避 免 合 并 到 t o p c h u n k ） ， 然 后 释 放 a （ 此 时 再 次 释 放 a 构 成 d o u b l e f r e e 双 重 释 放 ， 但 是 由 于 g l i b c 在 释 放 f a s t b i n 大 小 的 堆 时 检 查 且 仅 检 查 f a s t b i n 头 部 的 堆 和 要 释 放 的 堆 是 否 相 等 ， 若 相 等 则 报 错 ） ， 为 了 绕 过 g l i b c 在 释 放 堆 时 对 b i n 头 结 点 的 检 查 ， 我 们 f r e e ( b ) ， 此 时 f a s t b i n 如 下 ( b = 0 × 6 0 2 0 2 0 , a = 0 × 6 0 2 0 0 0 ； 由 于 f a s t b i n 是 单 链 表 且 L I F O ， 后 释 放 的 b 被 插 入 到 链 表 头 ) 然 后 我 们 再 次 f r e e ( a ) ， 由 于 此 时 b i n 头 结 点 指 向 b ， 所 以 对 头 结 点 的 检 查 被 绕 过 ， f r e e ( a ) 之 后
可 以 看 到 此 时 f a s t b i n 中 有 两 个 a ， 如 果 此 时 我 们 申 请 三 个 0 × 8 大 小 的 堆 ， 则 依 次 从 f a s t b i n 头 部 取 得 到 a 、 b 、 a 三 个 堆 。 1 . 2   f a s t b i n _ d u p _ i n t o _ s t a c k h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / g l i b c _ 2 . 2 5 / f a s t b i n _ d u p _ i n t o _ s t a c k . c f a s t b i n 下 d o u b l e f r e e 的 利 用 示 例 （ 未 开 启 t c a c h e 机 制 ） 。 主 要 思 路 是 在 d o u b l e f r e e 时 我 们 有 一 次 修 改 一 个 存 在 于 f a s t b i n 链 表 的 堆 的 机 会 ， 然 后 通 过 伪 造 堆 的 内 容 可 以 使 得 f a s t b i n 链 入 伪 造 的 堆 ， 再 次 申 请 内 存 可 以 得 到 伪 造 地 址 处 的 堆 。 示 例 中 先 申 请 了 3 个 0 × 8 大 小 的 堆 ， 然 后 通 过 f r e e ( a ) 、 f r e e ( b ) 、 f r e e ( a ) 构 成 一 次 d o u b l e f r e e （ 原 理 同 f a s t b i n _ d u p ） ， 此 时 f a s t b i n 的 连 接 状 态 是 a - > b - > a 。 再 次 申 请 两 个 0 × 8 大 小 的 堆 ， 由 于 f a s t b i n 的 l i f o ， 此 时 f a s t b i n 中 只 剩 a ， 且 此 时 堆 a 存 在 于 f a s t b i n 和 用 户 申 请 的 堆 中 ， 即 我 们 可 以 控 制 一 个 存 在 于 f a s t b i n 的 堆 的 内 容 。 容 易 想 到 的 一 种 利 用 方 式 是 伪 造 f a s t b i n 链 表 的 内 容 ， 进 而 达 到 在 伪 造 地 址 处 申 请 堆 的 效 果 。 示 例 中 在 栈 中 伪 造 了 一 个 0 × 2 0 大 小 的 堆 （ 伪 造 堆 头 如 下 图 选 中 部 分 ， 其 中 a = 0 × 4 0 5 0 0 0 ， & s t a c k _ v a r = 0 x 0 0 0 0 7 f f f f f f f d f b 0 ） ， 此 时 堆 a 的 f d 指 向 & s t a c k _ v a r ， 即 f a s t b i n : a - > s t a c k _ v a r ， 此 时 第 二 次 申 请 不 超 过 0 × 1 8 大 小 的 堆 （ 6 4 位 系 统 ， 跟 申 请 堆 时 字 节 对 齐 有 关 ， 返 回 的 堆 的 大 小 会 被 转 化 成 满 足 条 件 的 最 小 2 * s i z e _ s z 的 倍 数 ， 最 大 0 × 1 0 + 8 ， 8 字 节 可 占 用 下 一 个 堆 的 p r e v _ s i z e ） 即 可 返 回 栈 地 址 处 的 伪 造 堆 。 1 . 3   f a s t b i n _ d u p _ c o n s o l i d a t e h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / g l i b c _ 2 . 2 5 / f a s t b i n _ d u p _ c o n s o l i d a t e . c f a s t b i n   a t t a c k 构 成 d o u b l e f r e e 的 一 个 示 例 。 原 理 是 利 用 申 请 一 次 l a r g e b i n 大 小 的 堆 会 将 f a s t b i n 的 堆 进 行 合 并 进 入 u n s o r t e d b i n 的 处 理 流 程 ， 此 时 再 次 f r e e   f a s t b i n 中 的 堆 会 绕 过 f r e e 时 对 f a s t b i n 链 表 头 节 点 的 检 查 进 而 构 成 一 次 d o u b l e f r e e 。
从 下 图 f r e e 的 流 程 中 我 们 可 以 看 出 f r e e 时 只 会 检 查 释 放 f a s t b i n 大 小 的 堆 时 被 释 放 的 堆 是 否 和 f a s t b i n 的 头 结 点 是 否 一 致 ， 而 在 申 请 0 × 4 0 0 的 l a r g e c h u n k 时 ， f a s t b i n 链 表 非 空 ， f a s t b i n 中 的 堆 会 进 行 合 并 并 且 进 入 u n s o r t e d b i n 的 处 理 流 程 ， 在 u n s o r t e d b i n 的 处 理 流 程 中 符 合 f a s t b i n 大 小 的 堆 会 被 放 入 s m a l l b i n ， 这 样 就 绕 过 了 f r e e 时 对 f a s t b i n 头 结 点 的 检 查 ， 从 而 可 以 构 成 一 次 对 f a s t b i n 大 小 的 堆 的 d o u b l e f r e e 。 1 . 4   u n s a f e _ u n l i n k h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / g l i b c _ 2 . 2 6 / u n s a f e _ u n l i n k . c 堆 可 以 溢 出 到 下 一 个 堆 的 s i z e 域 且 存 在 一 个 指 向 堆 的 指 针 时 堆 溢 出 的 一 种 利 用 方 式 。 U n s a f e   u n l i n k 利 用 的 前 提 是 可 以 溢 出 到 下 一 个 堆 的 s i z e 域 ， 利 用 的 大 致 思 路 是 在 c h u n k 0 构 造 f a k e c h u n k 且 f a k e c h u n k 可 以 绕 过 u n l i n k 双 向 链 表 断 链 的 检 查 ， 修 改 c h u n k 1 的 p r e _ s i z e 使 之 等 于 f a k e c h u n k 的 大 小 ， 修 改 c h u n k 1 中 s i z e 域 的 p r e v   i n u s e 位 为 0 以 便 f r e e ( c h u n k 1 ) 时 检 查 前 后 向 堆 是 否 空 闲 时 （ 这 里 是 后 向 堆 ， 即 物 理 低 地 址 ） 触 发 u n l i n k 双 向 链 表 断 链 构 成 一 次 任 意 地 址 写 。 下 面 看 一 下 u n l i n k 的 具 体 细 节 和 原 理 。 示 例 中 首 先 申 请 了 两 个 0 × 8 0 大 小 的 堆 c h u n k 0 和 c h u n k 1 （ 非 f a s t b i n 大 小 ， 因 为 f a s t b i n 大 小 的 堆 为 了 避 免 合 并 p r e _ i n u s e 总 是 为 1 ） ， 然 后 在 c h u n k 0 中 构 造 f a k e _ c h u n k
需 要 注 意 的 是 ， 我 们 构 造 的 f a k e   c h u n k 的 起 点 是 c h u n k 0 的 数 据 部 分 即 f d ， f a k e   c h u n k 的 p r e v   s i z e 和 s i z e 域 正 常 赋 值 即 可 （ 最 新 的 l i b c 加 入 了 c u r _ c h u n k ’ s i z e = n e x t _ c h u n k ’ s   p r e v _ s i z e ） ， f a k e   c h u n k 中 关 键 的 部 分 是 f a k e   d a t a ， 这 一 部 分 要 绕 过 u n l i n k 双 向 链 表 断 链 的 检 查 ， 即 f d - > b k = p & & b k - > f d = p c h u n k 的 结 构 体 如 下 的 结 构 体 如 下 所 以 由 结 构 体 的 寻 址 方 式 可 得 ( f d - > b k = f d + 3 *   s i z e _ t ) = p ( b k - > f d = b k + 2 *   s i z e _ t ) = p 所 以 可 得 f d = p - 3 *   s i z e _ t b k = p - 2 *   s i z e _ t 即 f a k e c h u n k 中 f d 和 b k 域 如 上 构 造 即 可 绕 过 u n l i n k 双 向 链 表 的 断 链 检 查 。 构 造 完 f a k e c h u n k 还 需 要 修 改 下 c h u n k 1 的 p r e v s i z e 和 s i z e 的 数 据 ， 首 先 是 p r e v s i z e 要 修 改 成 f a k e c h u n k 的 大 小 （ 包 含 堆 头 ， 原 因 是 g l i b c 寻 找 下 一 个 堆 的 宏 如 下 ， 即 将 当 前 堆 偏 移 s i z e 的 数 据 视 为 下 一 个 堆 ） c h u n k 1   s i z e 部 分 的 i n u s e 位 要 置 0 ， 即 标 识 物 理 相 邻 低 地 址 堆 为 空 闲 状 态 （ 这 也 是 u n l i n k 无 法 使 用 f a s t b i n 大 小 的 堆 的 原 因 ， f a s t b i n
大 小 的 堆 为 了 减 少 堆 合 并 的 次 数 i n u s e 位 总 是 置 1 ） 最 后 构 造 的 f a k e c h u n k + c h u n k 1 部 分 数 据 如 下 ， c h u n k 0 堆 头 0 × 4 0 5 0 0 0 ， f a k e c h u n k 堆 头 0 × 4 0 5 0 1 0 ， c h u n k 1 堆 头 0 × 4 0 5 0 9 0 ， 图 中 选 中 部 分 为 f a k e c h u n k 其 中 f a k e c h u n k 的 f d 要 使 用 指 向 堆 节 点 的 指 针 （ 如 指 向 该 节 点 的 全 局 变 量 ， 非 堆 地 址 ） 的 原 因 是 u n l i n k 源 码 中 传 入 的 第 二 个 参 数 是 s t r u c t   m a l l o c _ c h u n k   *   p 。 下 面 分 析 下 u n s a f e u n l i n k 是 如 何 导 致 任 意 地 址 写 的 。 阅 读 源 码 可 以 发 现 s m a l l b i n 范 围 内 非 f a s t b i n 范 围 的 堆 在 u n l i n k 时 只 检 查 了 双 向 链 表 的 完 整 性 ， 然 后 执 行 了 双 向 链 表 摘 除 节 点 的 操 作 。 断 链 的 过 程 f d - > b k = b k   即 ( f d - > b k = p ) = ( b k = p - 2 *   s i z e _ t ) b k - > f d = f d   即 ( b k - > f d = p ) = ( f d = p - 3 *   s i z e _ t ) 最 终 相 当 于 p = p - 3 *   s i z e _ t 即 获 得 了 两 个 相 等 的 指 针 （ s t r u c t   m a l l o c _ c h u n k   *   p ） ， 试 想 如 果 此 时 我 们 可 以 修 改 一 个 指 针 指 向 的 地 址 同 时 可 以 修 改 另 一 个 指 针 指 向 的 内 容 不 就 可 以 构 成 一 次 任 意 地 址 写 了 吗 ？ 巧 的 是 ( ; p ) 我 们 恰 好 可 以 达 到 这 样 的 效 果 。 此 时 我 们 修 改 f a k e _ c h u n k [ 3 ] 为 要 写 的 地 址 ， 修 改 f a k e _ c h u n k [ 0 ] 为 要 写 的 地 址 的 内 容 即 可 。 原 因 是 f a k e _ c h u n k [ 3 ] - 3 * s i z e _ t = f a k e _ c h u n k ， 这 里 相 当 于 给 f a k e _ c h u n k 指 向 一 个 新 的 地 址 ； f a k e _ c h u n k [ 0 ] 访 问 的 是 & f a k e _ c h u n k [ 0 ] 地 址 处 的 值 ， 即 上 一 步 修 改 的 地 址 处 的 内 容 。 这 样 就 构 成 了 一 次 任 意 地 址 写 ^ . ^ 1 . 5   h o u s e _ o f _ s p i r i t h t t p s : / / g i t h u b . c o m / s h e l l p h i s h / h o w 2 h e a p / b l o b / m a s t e r / g l i b c _ 2 . 2 5 / h o u s e _ o f _ s p i r i t . c 利 用 f a s t b i n 范 围 的 堆 释 放 时 粗 糙 的 检 查 可 以 在 任 意 地 址 处 伪 造 f a s t b i n 范 围 f a k e c h u n k 进 而 返 回 f a k e c h u n k 的 一 种 利 用 方 式 。 思 路 是 在 指 定 地 址 处 伪 造 f a s t b i n 范 围 的 f a k e c h u n k ， 释 放 掉 伪 造 的 f a k e c h u n k ， 再 次 申 请 释 放 掉 的 f a k e c h u n k 大 小 的 堆 即 可 得 到 f a k e c h u n k 。
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 07:11 , Processed in 0.577002 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表