【PWN · heap | House Of Spirit】2014_hack.lu_oreo

最新推荐文章于 2024-02-11 13:31:42 发布

Mr_Fmnwon

最新推荐文章于 2024-02-11 13:31:42 发布

阅读量953

点赞数 20

分类专栏：【PWN · Heap】文章标签： ctf pwn 劫持GOT heap House Of Spirit

本文链接：https://blog.csdn.net/Mr_Fmnwon/article/details/136037893

版权

呜呜呜，时隔多个月，继续学pwn

2.大量add设置fake chunk的size合法

3.message 构造fake chunk的next chunk合法，绕过检测

4.order释放，将fake chunk放到fast bin中，等待add返回

5.修改notice指针，指向got表

6.通过message，修改notice指向的区域（got表，这里是strlen的got表）

三、exp

前言

将chunk劫持到指定位置，能够大有作为，而House Of Spirit的目的就是这一点。最初了解仅是了解，通过本题，对于利用手法的利用，感悟更为深入。

零、House Of Spirit介绍

House of Spirit 是 the Malloc Maleficarum 中的一种技术。

该技术的核心在于在目标位置处伪造 fastbin chunk，并将其释放，从而达到分配指定地址的 chunk 的目的。

要想构造 fastbin fake chunk，并且将其释放时，可以将其放入到对应的 fastbin 链表中，需要绕过一些必要的检测，即

1、fake chunk 的 ISMMAP 位不能为 1，因为 free 时，如果是 mmap 的 chunk，会单独处理 IS_MAPPED，记录当前 chunk 是否是由 mmap 分配的，这个标志位位于size低二比特位
2、fake chunk 地址需要对齐， MALLOC_ALIGN_MASK 因为fake_chunk可以在任意可写位置构造，这里对齐指的是地址上的对齐而不仅仅是内存对齐，比如32位程序的话fake_chunk的prev_size所在地址就应该位0xXXXX0或0xXXXX4。64位的话地址就应该在0xXXXX0或0xXXXX8
3、fake chunk 的 size 大小需要满足对应的 fastbin 的需求，同时也得对齐 fake_chunk如果想挂进fastbin的话构造的大小就不能大于0x80，关于对齐和上面一样，并且在确定prev_size的位置后size所在位置要满足堆块结构的摆放位置
4、fake chunk 的 next chunk 的大小不能小于 2 * SIZE_SZ，同时也不能大于av->system_mem fake_chunk 的大小，大小必须是 2 * SIZE_SZ 的整数倍。如果申请的内存大小不是 2 * SIZE_SZ 的整数倍，会被转换满足大小的最小的 2 * SIZE_SZ 的倍数。32 位系统中，SIZE_SZ 是 4；64 位系统中，SIZE_SZ 是 8。最大不能超过av->system_mem，即128kb。next_chunk的大小一般我们会设置成为一个超过fastbin最大的范围的一个数，但要小雨128kb，这样做的目的是在chunk连续释放的时候，能够保证伪造的chunk在释放后能够挂在fastbin中main_arena的前面，这样以来我们再一次申请伪造chunk大小的块时可以直接重启伪造chunk
5、fake chunk 对应的 fastbin 链表头部不能是该 fake chunk，即不能构成 double free 的情况 这个检查就是fake_chunk前一个释放块不能是fake_chunk本身，如果是的话_int_free函数就会检查出来并且中断

想要使用该技术分配 chunk 到指定地址，其实并不需要修改指定地址的任何内容，关键是要能够修改指定地址的前后的内容使其可以绕过对应的检测。