Linux堆溢出漏洞利用之unlink

最新推荐文章于 2023-08-01 21:37:12 发布

阿里安全

最新推荐文章于 2023-08-01 21:37:12 发布

阅读量4.9k

点赞数 1

分类专栏：系统安全漏洞安全文章标签：漏洞 unlink 阿里聚安全安全

本文链接：https://blog.csdn.net/AliMobileSecurity/article/details/51595245

版权

本文详细解析了Linux堆溢出漏洞利用中的unlink技术，介绍了其基本知识，包括向后合并和向前合并操作。通过覆盖chunk header，攻击者可以利用unlink机制在free函数调用时执行shellcode。同时，文章讨论了针对unlink的防御技术，如Double Free检测、next size非法检测和双链表冲突检测。尽管现代系统已对此类攻击有所防范，但理解unlink攻击原理对深入学习Linux内存管理和安全至关重要。

摘要由CSDN通过智能技术生成

Linux堆溢出漏洞利用之unlink

作者：走位@阿里聚安全

0 前言

之前我们深入了解了glibc malloc的运行机制（文章链接请看文末▼），下面就让我们开始真正的堆溢出漏洞利用学习吧。说实话，写这类文章，我是比较怂的，因为我当前从事的工作跟漏洞挖掘完全无关，学习这部分知识也纯粹是个人爱好，于周末无聊时打发下时间，甚至我最初的目标也仅仅是能快速看懂、复现各种漏洞利用POC而已…鉴于此，后续的文章大致会由两种内容构成：1)各种相关文章的总结，再提炼；2)某些好文章的翻译及拓展。本文两者皆有，主要参考文献见这里。

1 背景介绍

首先，存在漏洞的程序如下：

在代码[3]中存在一个堆溢出漏洞：如果用户输入的argv[1]的大小比first变量的666字节更大的话，那么输入的数据就有可能覆盖掉下一个chunk的chunk header——这可以导致任意代码执行。而攻击的核心思路就是利用glibc malloc的unlink机制。

上述程序的内存图如下所示：

2 unlink技术原理

2.1 基本知识介绍

unlink攻击技术就是利用”glibc malloc”的内存回收机制，将上图中的second chunk给unlink掉，并且，在unlink的过程中使用shellcode地址覆盖掉free函数(或其他函数也行)的GOT表项。这样当程序后续调用free函数的时候(如上面代码[5])，就转而执行我们的shellcode了。显然，核心就是理解glibc malloc的free机制。

在正常情况下，free的执行流程如下文所述：

PS: 鉴于篇幅，这里主要介绍非mmaped的chunks的回收机制，回想一下在哪些情况下使用mmap分配新的chunk，哪些情况下不用mmap？

一旦涉及到free内存，那么就意味着有新的chunk由allocated状态变成了free状态，此时glibc malloc就需要进行合并操作——向前以及(或)向后合并。这里所谓向前向后的概念如下：将previous free chunk合并到当前free chunk，叫做向后合并；将后面的free chunk合并到当前free chunk，叫做向前合并。