Fastbin attack总结

double free

思路：

构造fake chunk，将free chunk的fd指向fake chunk，使得下次malloc时返回fake chunk

检测：

(1)fastbin 在执行 free 的时候仅验证了 main_arena 直接指向的块，即链表指针头部的块。对于链表后面的块，并没有进行验证。

(2)malloc申请伪造的fastbin时会检测fastbin的SIZE

流程：

a1=malloc();
a2=malloc();
free(a1);
free(a2); // main_arena指向a2，此时可以对a1 double free
free(a1); // 此时chunk链表：main_arena->a1->a2->a1
          //                                ^   |
          //                                |___|
a1=malloc();
*a1=&fake_chunk;
malloc(); // a2
malloc(); // a1
a3=malloc(); // fake_chunk

House of Spirit

思路：

构造fake chunk，将其free，malloc后申请到该chunk达到写指定地址

检测：

(1)ISMMAP 位不能为 1——mmap()申请内存单独处理；

(2)地址对齐，fake chunk size对齐；

(3)fake chunk 的next chunk的size不小于2 * SIZE_SZ，不大于av->system_mem。

libc2.23与libc2.27区别

libc2.23里fd指向的是chunk首地址，但2.27里指向的却是分配的首地址

#include "stdio.h"
#include "stdlib.h"
int main(void){
    char *a1,*a2;
    a1=malloc(0x40);
    a2=malloc(0x40);
    printf("a1=%p\na2=%p\n",a1,a2);
    free(a2);
    free(a1);
    printf("a1->fd=%p\n",*(unsigned long long*)a1);
    return 0;
}

在libc2.23时，输出为：

a1=0x21cc010
a2=0x21cc060
a1->fd=0x21cc050

而2.27则是：

a1=0x55ab8dfac260
a2=0x55ab8dfac2b0
a1->fd=0x55ab8dfac2b0

参考链接：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/fastbin_attack-zh/