一、Unlink的过程
1)定义:在双向链表中取出一个chunk的操作
2)使用时间:
1、malloc
·在恰好大小的large chunk处取chunk时
·在比请求大小大的bin中取chunk时
2、Free
·后向合并,合并物理相邻低物理地址空闲chunk时
·前向合并,合并物理相邻高物理地空闲chunk时(top chunk除外)
3、malloc_consolidate
·后向合并,合并物理相邻低地址空闲chunk时
·前向合并,合并物理相邻高地址空闲chunk时(top chunk除外)
4、realloc
前向扩展,合并物理相邻高地址空闲chunk(除top chunk)
3)两个check
具体的源码师傅们自行查看喽
下面摘录两个check(我用语言叙述一下)(这两个check也是后面利用的关键)
1、检测p的下一个chunk的pre_size是否等于p的size
2、检测p->fd->bk是否等于p p->bk->fd是否等于p(p的前一个的后一个和p的后一个的前一个都是自己)
然后就是双向链表里面取一个chunk的过程,可以参考ctfviki的图
二、利用思路
1)条件
- UAF ,可修改 free 状态下 smallbin 或是 unsorted bin 的 fd 和 bk 指针
- 已知位置存在一个指针指向可进行 UAF 的 chunk
2)效果
使得已指向 UAF chunk 的指针 ptr 变为 ptr - 0x18
3)思路
设指向可 UAF chunk 的指针的地址为 ptr
- 修改 fd 为 ptr - 0x18
- 修改 bk 为 ptr - 0x10
- 触发 unlink
ptr 处的指针会变为 ptr - 0x18。
三、例子
在heap exploitation上有一个 unsafe unlink
1)check2的绕过
下面是我画的一张绕过check部分的理解图
如下面左右三张图,将chunk0-3到pre这四个字节看成一个chunk,将chunk0-2到size看成一个chunk
请注意我们目的是绕过第二个check 检测p->fd->bk是否等于p p->bk->fd是否等于p
如中间那张图,p->fd->bk就是chunk0的地址,同理p->bk->fd也是chunk0的地址
这里需要注意:fake_chunk只是我们伪造成chunk样子的chunk,真正检查的是chunk0
2)check1的绕过
将chunk2的pre_size修改为0x80,并且prev_inuse为修改为0
Q:为什么是0x80呢?不应该是0x90吗?
A:在malloc chunk1的时候给的是mem指针,也就是fake chunk是从size之后开始写的