House of Force

youngmith

已于 2022-09-27 12:10:03 修改

阅读量1.2k

点赞数 1

文章标签：安全

于 2022-09-26 17:55:02 首次发布

本文链接：https://blog.csdn.net/yms0211/article/details/127057963

版权

概述：

house of force是一种针对top chunk的利用手法，它是通过修改top_chunk的size域从而完成一次几乎是任意地址的内存分配

原理：

根据前面的堆的基础知识可以知道，当程序需要分配一块内存，而tcache或者各个bin中都没有对应大小的堆块的话就会从top_chunk中分割一个对应大小的chunk出来给我们用，但是如果我们可以控制top_chunk的size域话，我们只需要在分配时用些小手段就可以将top_chunk分配到任意一个地址上去。

首先我们来看一下分割top_chunk时的操作和检查：

// 获取当前的top chunk，并计算其对应的大小
victim = av->top; //获取top_chunk地址
size   = chunksize(victim); //获取top_chunk大小
// 如果在分割之后，其大小仍然满足 chunk 的最小大小，那么就可以直接进行分割。
if ((unsigned long) (size) >= (unsigned long) (nb + MINSIZE)) 
{
    remainder_size = size - nb; //分配后的大小
    remainder      = chunk_at_offset(victim, nb); //分配后top_chunk的地址
    av->top        = remainder;
    //下面的两个set是跟完成分配后的top_chunk和分割出去的chunk设置chunk_header的流程，这里不用管
    set_head(victim, nb | PREV_INUSE |
            (av != &main_arena ? NON_MAIN_ARENA : 0));
    set_head(remainder, remainder_size | PREV_INUSE);

    check_malloced_chunk(av, victim, nb);
    void *p = chunk2mem(victim);
    alloc_perturb(p, bytes);
    return p;
}

可以看见在流程中只有一个检查，就是这一句判断：

if ((unsigned long) (size) >= (unsigned long) (nb + MINSIZE))

判断top_chunk现在的size是否比需要分割出去的chunk的size大，这里加的 MINSIZE 是要保证即使top_chunk的大小比需要的大小大，但是分配完成后还要保证有一个MINSIZE大小的内存来存放top_chunk的chunk_header。

那么这个判断想要绕过也很简单，只需要让top_chunk的size很大就行了，这里可以发现在进入判断时会把size强行转换为无符号长整型，所以，这里我们如果能将其设置为-1，在转换后就会变成无符号整形里最大的数（0xffffffffffffffff）就可以绕过判断了

示例：

这里采用wiki上的第一个例子来看一下house of force的流程：

这个例子是要篡改malloc函数got表地址的内存

int main()
{
    long *ptr,*ptr2;
    ptr=malloc(0x10);
    ptr=(long *)(((long)ptr)+24);
    *ptr=-1;        // <=== 这里把top chunk的size域改为0xffffffffffffffff
    malloc(-4120);  // <=== 减小top chunk指针
    malloc(0x10);   // <=== 分配块实现任意地址写
}

程序流程比较简单就不赘述了，这里讲一下为什么要在修改top_chunk的size位后分配一个大小为-4120的chunk：

因为我们要控制malloc的got表处的内存，在gdb中可以查到他的got表所在的地址是:0x601020

在这里插入图片描述
然后top_chunk的地址是：0x602020

所以我们要让top_chunk的地址向上移 0x601010 - 0x602020= -4112，这里由于要经过内部的checked_request2size，所以我们是要满足对齐参数MALLOC_ALIGN（详细的解释可以看wiki，后面总结的时候会再提一下），所以最终是要减去一个-4120。