Unsorted Bin Attack小记

于 2024-10-02 12:35:45 发布
阅读量203 收藏 2
点赞数 2
分类专栏： CTF 文章标签： 网络安全 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_79696060/article/details/142680093
版权

Unsorted Bin Attack主要就两个应用：

  1. 泄露libc地址
  2. 任意地址写一个较大的值

在实际的题目中Unsorted Bin Attack一般只是我们整个攻击流程的一部分

那如何泄露libc地址呢？

在把一个堆块放进unsortedbin中后其fd和bk指针会写上main_arena再加一定偏移的值，ain_arena就在libc中，确定好偏移即可得到libc基地址，当然，这个要求是你能够将其show出来，如果没有uaf的话，可以molloc一个较小的堆块切割unsortedbin，其fd和bk的值依旧残留在申请出的chunk中，如果没有show功能的话，可能就要结合IO相关的利用泄露地址了

任意地址写一个较大的值有什么用？如何实现呢？

向任意地址写一个很大的值一般都是修改global_max_fast或者tcache max size，这样可以将更大大小的堆块放入fastbin/tcache中，一般都是限制堆块大小时使用。实现也很简单，只要我们能控制该bin的bk指针，将其改为target_addr-0x10即可，依旧借用ctf-wiki的图展示

 

Hertant
关注
专栏目录
ctf-pwn-堆—unsorted bin attack
xy_369的博客
05-23 300
上面只需要知道unsorted bin实现了将栈上的一个变量值变为了main_arena结构体中的一个地址，这句话仅出于个人理解，从参考链接2里得到的理解。1、个人翻译过后的代码（翻译自参考链接2）3、删除部分打印函数的代码。
unsortedbin attack
yjh_fnu_ltn的博客
07-19 952
(因为unsorted_chunks(av)地址本来就知道，不需要用过链尾的p去找它的下一个即fd值)，所以即使我们修改了其为一个不合法的值也没有关系。然而，需要注意的是，unsorted bin 链表可能就此破坏，在插入 chunk 时，可能会出现问题。类似于unlink的过程，要将链尾的chunkp，取出来，即 unsorted_chunks(av)->bk = p->bk;我们可以看到，在该链表中必有一个节点（不准确的说，是尾节点，这个就意会一下把，毕竟循环链表实际上没有头尾）的。
好好说话之Unsorted Bin Attack
hollk’s blog
01-15 3903
Unsorted Bin Attack很简单，序言就不多说了，直接看本文讲解就好，抓紧时间把wiki写完，我要去搞IOT固件分析了！！！！
UnsortedBin Attack
yms0211的博客
09-13 1043
Unsorted Bin Attack
堆漏洞挖掘——unsortedbin attack漏洞
董哥的黑板报
08-13 3247
一、核心思想 实现在任意地址写一个数值 局限性：通常unsortedbin attack只能够在目标地址写一个大数值 unsortedbin attack通常是为了配合fastbin attack而使用的 fastbin attack见文章：https://blog.csdn.net/qq_41453285/article/details/99315504 二、原理图解 当从unsor...
House of orange & Unsortedbin Attack & FSOP
LDX的博客
12-12 105
HITCON 2016 houseoforange house系列经典例题
unsorted bin attack
abelxu
11-17 386
0x01 unsorted bin 基本来源 当一个较大的 chunk 被分割成两半后，如果剩下的部分大于 MINSIZE，就会被放到 unsorted bin 中。 释放一个不属于 fast bin 的 chunk，并且该 chunk 不和 top chunk 紧邻时，该 chunk 会被首先放到 unsorted bin 中。 当进行 malloc_consolidate 时，可能会把合并后的 chunk 放到 unsorted bin 中，如果不是和 top chunk 近邻的话。 基本使用情况
Unsorted Bin Attack
qq_45595732的博客
11-26 444
Unsorted Bin Attack Unsorted Bin Attack 被利用的前提 -------------控制 Unsorted Bin Chunk 的 bk 指针。 Unsorted Bin Attack 可以达到的效果 -------------实现修改任意地址值为一个较大的数值。 Unsorted bin的来源 1，当一个较大的 chunk 被分割成两半后，如果剩下的部分大于MINSIZE，就会被放到 unsorted bin 中。 2，释放一个不属于 fast bin
CTF-PWN Noleak (unsortedbin attack+fastbin attack+malloc_hook)
SuperGate的博客
11-25 916
漏洞简述 [*] '/home/supergate/Desktop/Pwn/timu' Arch: amd64-64-little RELRO: Full RELRO Stack: Canary found NX: NX disabled PIE: No PIE (0x400000) RWX: Ha...
fastbin attack + unsorted bin attack+ heap overflow+ double free fastbin + double free unlink
qq_39869547的博客
10-27 382
0x1 fastbin依靠单链表来组织的，堆管理结构始终维护一个指向最后一个chunk的指针(倒数第二个chunk的fd，通常情况这个fd指向的是下一个chunk起始地址)。这个指针决定了下一次要分配的chunk地址。 也就是说默认分配最好一个chunk给用户使用，同时最后一个chunk也是我们一开始第一个free掉的 0x2 我们的目的修改某一个chunk的fd ，这样我们就可以任意地址分配我们...
CTF pwn题堆入门 -- Unsorted bin
lifanxin的博客
04-08 3275
Unsorted bin概述攻击方式泄露libc地址总结 概述   Unsorted bin也是堆题中常见的，当一个堆块被释放时，且该堆块大小不属于fast bin（libc-2.26之后要填满tcache），那么在进入small bin和large bin之前，都是先加入到unsorted bin的。之后当我们再次分配内存到unsorted bin上寻找时，如果申请的内存堆块小于寻找的unsorted bin，那么会将该内存块切割后返回给用户，剩下的仍然保存在unsorted bin上；如果申请的内存堆块
houseoforange_hitcon_2016（House of orange， unsorted bin attack，FSOP）
weixin_44145820的博客
04-27 1589
目录题目分析漏洞利用Exp 题目分析 只有添加，显示，编辑三个功能，没有删除 添加函数，最多只能添加四次，每次添加会依次执行malloc(0x10),malloc(name_size),calloc(8) House结构体如下 在编辑函数中，可以进行堆溢出，因为House没有把name的size保存下来 编辑次数最多为3 漏洞利用 Exp ...
新姿势GET 通过unsorted bin泄露libc地址 与 fastbin double free
哒君的博客
08-01 2067
源文件 GitHub checksec 初步分析 利用方法 用sentence函数分配small bin大小的bin，将其free以后，会归入unsorted bin，而如果只有一个bin的话，其fd与bk都是main_arena + offset，尽管free以后内容会清0，但是search函数中的memcmp却可以通过使v1为\x00来绕过，这样的话就会打印出bin的fb字...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8482
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
部标主动安全（ADAS+DMS）对接说明
谁念西风独自凉
09-27 729
上一篇介绍了，这里说一下如何对接主动安全附件服务器。流媒体的对接主要牵扯到4个方面：（1）平台端：业务端系统，包含前端呈现界面。（2）JT/T808网关：部标设备接入网关，这个是非常重要的，是设备与平台进行数据交换的桥梁，流媒体相关的指令操作也必须依赖它完成。（3）部标视频机：符合JT/T808协议的车载视频机器。（4）流媒体服务：符合苏标、粤标、川标、陕标协议的主动安全附件服务，接收文件流，并存储。
Splashtop 加入 Microsoft 智能安全协会
SplashtopLoki的博客
09-27 617
Splashtop 的 Foxpass Cloud RADIUS 可提供精确的访问控制，保护 Wi-Fi 网络免受未授权用户和网络攻击的侵害，Foxpass 因其流畅的用户体验和强大的安全性而广受认可。MISA 由独立软件供应商（ISV）和托管安全服务提供商（MISA）组成，他们将其解决方案与 Microsoft 安全技术集成，以更好地保护我们共同的客户免受日益增长的网络威胁。MISA 的使命是提供行业领先的智能安全解决方案，在安全威胁不断增加的情况下，以 AI 的速度和规模保护组织安全。
安全服务面试
最新发布
m0_74402888的博客
09-28 516
内网的计算机可向 Internet 上的其他计算机发送连接请求，但 Internet 上其他。个列表中的 IP 进行 SYN+ACK 的重试。明白这种攻击的基本原理，还是要从 TCP 连接建立的过程开始说起：大家都知道，TCP 与。的 IP 地址，如果攻击者以数万/秒的速度发送 SYN 报文，同时利用 SOCK_RAW。Internet 上的计算机，但 Internet 上的计算机无法访问局域网内的计算机。内网的计算机以 NAT（网络地址转换）协议，通过一个公共的网关访问 Internet。
网络编程（5）——模拟伪闭包实现连接的安全回收
m0_63086198的博客
09-26 1096
new_session通过bind绑定时，new_session的计数就会加一，所以在bind后，new_session的生命周期和新构造函数的生命周期相同，因为新生成的函数对象引用了new_session（new_session通过值传递的方式被复制构造函数使用）。，但是通过bind操作，将new_session作为数值传递给bind函数，而bind函数返回的函数对象内部引用了该new_session所以引用计数增加1，这样保证了new_session不会被释放。今天学习如何通过C11智能指针构造伪。
fast bin、small bin、unsorted bin large bin的区别与共同点
07-15
快速块（fast bin）、小型块（small bin）、未排序块（unsorted bin）和大型块（large bin）是堆管理中不同的内存块分类。它们有一些区别和共同点，如下所示： 区别： 1. 大小范围：快速块是一组固定大小的小块，通常用于快速分配和释放小型对象；小型块是一组尺寸逐渐增大的内存块，用于中等大小的对象；未排序块是不同尺寸的内存块，用于中等和大型对象；大型块是较大的内存块，通常用于分配较大的对象。 2. 管理方式：快速块和小型块使用特定的数据结构（如双向链表或位图）来管理内存块；未排序块和大型块使用不同的数据结构（如双向链表）来管理内存块。 3. 分配策略：快速块通常通过简单的指针移动来分配和释放内存块，具有较低的开销；小型块和未排序块通常采用更复杂的算法来选择合适的内存块进行分配和释放；大型块通常通过系统调用来分配和释放内存。 共同点： 1. 都是用于管理堆中的内存块，以支持动态内存分配和释放操作。 2. 都涉及内存块的分配、释放和管理，以提高内存使用效率和减少碎片。 3. 都使用特定的数据结构来组织和管理内存块，以便快速查找可用的内存块。 这些块分类是堆管理中常见的策略，旨在根据对象的大小和使用模式来优化内存分配和释放的性能。具体的实现可能会因不同的堆管理算法而有所不同。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值