glibc下各种堆溢出漏洞利用条件和方法总结

各种堆溢出漏洞总结

溢出多个字节的情况

一、利用条件

一个chunk可以溢出，并且可以覆盖到下一个 chunk 的 size 位、fd、bk

二、利用关键

把 second chunk 的 size 覆盖为0，fd 改成 free@got-12, bk=shellcode 的地址（unlink 宏里面没有 check 可以这样做），然后 free first chunk。first chunk 会查找前后有没有可以合并的 free chunk， 通过下下个 chunk 的 PREV_IN_USE flag 来 查看后面的 chunk 是否是空闲的。因为 second chunk 的 size 是0，所以程序会认为 second chunk+0处是下下个 chunk，其实就是 second chunk，然后 size 的最低位PREV_IN_USE flag 是0，然后程序就会把下个 chunk 从free list 中 unlink 出来，在 unlink 的过程中就可以 write anything any where 了

三、核心思想

控制 fd 和 bk，通过 free 时候的合并来出发 unlink

off by one（只能溢出一个字节）

一、利用条件

一个 chunk 可以溢出一个字节，覆盖到下一个 chunk 的 size 位

二、利用思路

思路一：

把 second chunk 的 size 位的 PREV_IN_USE flag 改为0ÿ