double free
思路:
构造fake chunk,将free chunk的fd指向fake chunk,使得下次malloc时返回fake chunk
检测:
(1)fastbin 在执行 free 的时候仅验证了 main_arena 直接指向的块,即链表指针头部的块。对于链表后面的块,并没有进行验证。
(2)malloc申请伪造的fastbin时会检测fastbin的SIZE
流程:
a1=malloc();
a2=malloc();
free(a1);
free(a2); // main_arena指向a2,此时可以对a1 double free
free(a1); // 此时chunk链表:main_arena->a1->a2->a1
// ^ |
// |___|
a1=malloc();
*a1=&fake_chunk;
malloc(); // a2
malloc(); // a1
a3=malloc(); // fake_chunk
House of Spirit
思路:
构造fake chunk,将其free,malloc后申请到该chunk达到写指定地址
检测:
(1)ISMMAP 位不能为 1——mmap()申请内存单独处理;
(2)地址对齐,fake chunk size对齐;
(3)fake chunk 的next chunk的size不小于2 * SIZE_SZ,不大于av->system_mem。
libc2.23与libc2.27区别
libc2.23里fd指向的是chunk首地址,但2.27里指向的却是分配的首地址
#include "stdio.h"
#include "stdlib.h"
int main(void){
char *a1,*a2;
a1=malloc(0x40);
a2=malloc(0x40);
printf("a1=%p\na2=%p\n",a1,a2);
free(a2);
free(a1);
printf("a1->fd=%p\n",*(unsigned long long*)a1);
return 0;
}
在libc2.23时,输出为:
a1=0x21cc010
a2=0x21cc060
a1->fd=0x21cc050
而2.27则是:
a1=0x55ab8dfac260
a2=0x55ab8dfac2b0
a1->fd=0x55ab8dfac2b0
参考链接:https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/fastbin_attack-zh/