堆利用学习之fastbin attack

最新推荐文章于 2024-09-13 21:42:25 发布

Hpasserby

最新推荐文章于 2024-09-13 21:42:25 发布

阅读量750

点赞数 2

分类专栏： pwn 文章标签：堆利用 pwn fastbin attack ctf

本文链接：https://blog.csdn.net/hgy5945/article/details/82952937

版权

pwn 专栏收录该内容

2 篇文章 0 订阅

订阅专栏

原理

fastbin attack是一类漏洞的利用方法，是指所有基于 fastbin 机制的漏洞利用方法。主要利用了fast bin的单链表管理机制。

相关源码：
malloc：

/*
    If the size qualifies as a fastbin, first check corresponding bin.
    This code is safe to execute even if av is not yet initialized, so we
    can try it without checking, which saves some time on this fast path.
    */

if ((unsigned long) (nb) <= (unsigned long) (get_max_fast())) {
    // 得到对应的fastbin的下标
    idx             = fastbin_index(nb);
    // 得到对应的fastbin的头指针
    mfastbinptr *fb = &fastbin(av, idx);
    mchunkptr    pp = *fb;
    // 利用fd遍历对应的bin内是否有空闲的chunk块，
    do {
        victim = pp;
        if (victim == NULL) break;
    } while ((pp = catomic_compare_and_exchange_val_acq(fb, victim->fd, victim)) != victim);
    ...

这里首先根据所需chunk的大小获得该chunk所属fast bin的index，根据该index获得所需fast bin的空闲chunk链表指针，然后将头指针的下一个chunk（victim->fd）作为空闲chunk链表的头部（取出头部的chunk）。这里catomic_compare_and_exchange_val_acq是使用了lock-free的技术实现单向链表删除第一个node的操作，暂时不必关注。
可以注意到，这里是通过fd指针来获取下一个chunk的。所以如果可以控制某个fast bin中chunk的fd指针的值，那么在取出这个chunk后，fd指针指向的内存将会作为下一个将要被取出的内存，再次申请这个大小的内存，也就实现了在任意地方分配chunk的目的。

但是这里需要绕过一个检查:

// 存在可以利用的chunk
if (victim != 0) {
    // 检查取到的 chunk 大小是否与相应的 fastbin 索引一致。
    // 根据取得的 victim ，利用 chunksize 计算其大小。
    // 利用fastbin_index 计算 chunk 的索引。
    if (__builtin_expect(fastbin_index(chunksize(victim)) != idx, 0)) {
        errstr = "malloc(): memory corruption (fast)";
    errout:
        malloc_printerr(check_action, errstr, chunk2mem(victim), av);
        return NULL;
    }
    ...
}

malloc会检查取到的chunk的size是否是符合这个fast bin的，若是不符合则会GG。所以想要在任意地方分配一个chunk，需要先想办法在此处构造合适的size来通过这个检查。
巧妙的是，因为此处没有对内存进行对齐检查，所以可以通过错位的方式来构造出一个假的size出来（详见文末相关题目）