我又pwn啦——理论篇 unlink

一、Unlink的过程

1）定义：在双向链表中取出一个chunk的操作

2）使用时间：

1、malloc

·在恰好大小的large chunk处取chunk时

·在比请求大小大的bin中取chunk时

2、Free

·后向合并，合并物理相邻低物理地址空闲chunk时

·前向合并，合并物理相邻高物理地空闲chunk时（top chunk除外）

3、malloc_consolidate

·后向合并，合并物理相邻低地址空闲chunk时

·前向合并，合并物理相邻高地址空闲chunk时（top chunk除外）

4、realloc

前向扩展，合并物理相邻高地址空闲chunk（除top chunk)

3)两个check

具体的源码师傅们自行查看喽

下面摘录两个check（我用语言叙述一下）（这两个check也是后面利用的关键）

1、检测p的下一个chunk的pre_size是否等于p的size

2、检测p->fd->bk是否等于p p->bk->fd是否等于p（p的前一个的后一个和p的后一个的前一个都是自己）

然后就是双向链表里面取一个chunk的过程，可以参考ctfviki的图

二、利用思路

1）条件

1. UAF ，可修改 free 状态下 smallbin 或是 unsorted bin 的 fd 和 bk 指针
2. 已知位置存在一个指针指向可进行 UAF 的 chunk

2）效果

使得已指向 UAF chunk 的指针 ptr 变为 ptr - 0x18

3）思路

设指向可 UAF chunk 的指针的地址为 ptr

1. 修改 fd 为 ptr - 0x18
2. 修改 bk 为 ptr - 0x10
3. 触发 unlink

ptr 处的指针会变为 ptr - 0x18。

三、例子

在heap exploitation上有一个 unsafe unlink

1）check2的绕过

下面是我画的一张绕过check部分的理解图

如下面左右三张图，将chunk0-3到pre这四个字节看成一个chunk，将chunk0-2到size看成一个chunk

请注意我们目的是绕过第二个check 检测p->fd->bk是否等于p p->bk->fd是否等于p

如中间那张图，p->fd->bk就是chunk0的地址，同理p->bk->fd也是chunk0的地址

这里需要注意：fake_chunk只是我们伪造成chunk样子的chunk，真正检查的是chunk0

2）check1的绕过

将chunk2的pre_size修改为0x80，并且prev_inuse为修改为0

Q:为什么是0x80呢？不应该是0x90吗？

A:在malloc chunk1的时候给的是mem指针，也就是fake chunk是从size之后开始写的

3）data的修改

Q:为什么chunk1[3]和chunk1[0]指向同一片区域？

A:因为我们修改了fake_chunk的fd到了chunk1-3,因此在脱链的时候（chunk2被free掉），此时bin会认为chunk1-3的地方是chunk的起始地址,但是chunk1[0]本身就是data的地址，因此他们指向了同一片区域