Double Free浅析

最新推荐文章于 2025-03-08 12:40:28 发布
最新推荐文章于 2025-03-08 12:40:28 发布
阅读量1.9w 收藏 24
点赞数 7
分类专栏： pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zh_explorer/article/details/80307030
版权
本文从一个初学者的角度详细介绍了Double Free漏洞的原理和利用方法。作者通过分析Linux中glibc的内存管理源码，解释了如何通过伪造chunk和欺骗操作系统来触发Double Free，并提供了自己编写的示例程序以演示漏洞利用过程。文章还提到了如何构造payload以绕过检查，实现对内存的非法操作。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

最近在研究一些堆上面的漏洞。然后某一天骑自行车在路上跑的时候我突然悟出了Double Free的真谛。
2333好像太中二了一点，我是根据堆溢出的利用方法启发，再结合linux中libc的源码。研究出了double free的利用方法。虽然有关double free的利用技巧已经不是一个秘密。不过好像很少有相关的中文的介绍，所以以一个初学者的角度来讲解一下double free漏洞的利用方法。
如果有错误，希望大家批评指正。Orz

简介

Double Free其实就是同一个指针free两次。虽然一般把它叫做double free。其实只要是free一个指向堆内存的指针都有可能产生可以利用的漏洞
double free的原理其实和堆溢出的原理差不多，都是通过unlink这个双向链表删除的宏来利用的。只是double free需要由自己来伪造整个chunk并且欺骗操作系统。
这里是glibc中有关内存管理的源代码
+ malloc.c

内存管理介绍

有关内存管理的部分我放在另外的一篇博客上。

传送门

这篇文章首发于乌云知识库。现在我将它发到自己的博客上，我只在这２个地方发过此文章。
转载求写个出处Orz

漏洞的原理

要利用Double Free的漏洞。我

最低0.47元/天 解锁文章
浅析结构体函数指针与内核设备驱动
Bruce.yang的嵌入式之旅
12-28 3139
最近在公司没什么事做，突然有来写写日志和博客，这种突发的灵感来自于我在学习内核驱动代码的时候发现了结构体的一种古老的初始化方法，多亏了尚观广州校区的叶老师在群里用心的给我文字讲解，让我明白了原来结构体初始化也可以用:冒号这样的方法。          其实在C语言中，冒号:的用法有很多，比如三目运算符   表达式?表达式1:表达式2 ； 它的意思就是如果表达式成立，那么执行表达式1
初学堆 UAF漏洞及double free 利用手法（libc2.23）
weixin_66751120的博客
03-06 1936
UAF漏洞及double free 利用手法（libc2.23） 通过一道例题加深理解
Double free 漏洞复现与利用
vivid_moon的博客
05-29 5835
2018体系结构安全大作业申明：转载请注明出处选题:2015 年 0ctf 题题目描述:提供记事本功能的二进制文件,找出其漏洞,get shell第一章 操作说明为方便老师审核作业,本报告将操作说明放在第一章。操作流程如下:1 、安装 netcat 。2 、安装 pwntools 库。命令: pip install pwntools (安装过程中,一定要保证网络畅通,曾经因为网不好装这个库装了一个...
polarctf heap_Double_Free(double free漏洞)
2401_82703634的博客
03-08 723
就这样，运行exp就可以获取权限了，总的来说，知识点就是double free漏洞的利用，但是由于对堆结构的不熟悉，在调试过程中遇到很多困难，加油~
double free
浅浅徘徊的博客
03-16 6802
漏洞原理 Double Free其实就是一种在free时利用伪造chunk并且欺骗操作系统，达到修改内存的目的。 基本知识点 先大概说下基本知识。 不管是在正在使用的还是释放的chunk,其数据结构是差不多一样的,差别在于prev_size、’fd’和’bk’，prev_size只有前一个chunk是free状态才会放置其大小，后两个只有当前chunk是free状态才会有，不然只会存放数...
Double free（hows2heap）
fanghuapyk的博客
04-23 1827
1.fastbin_dup fast bin fast bin主要是用来存放一些小的内存，使用fastbin可以提高小内存的分配效率，在默认情况下，对于SIZE_SZ为4B（32位）的平台，小于64B（字节）的chunk分配请求，和对于SIZE_SZ为8B（64位）的平台，小于128B的chunk分配请求首先会在fast bin中查找是否有所需大小的chunk存在，如果存在，就会直接返回内存资源，如果不存在，才会到其他bins中去查找。 fastbins 可以看成一个后进先出的栈，使用单链表来实现，通过 f
【二进制安全】堆漏洞：Double Free原理
dzqxwzoe的博客
01-25 1090
我们先不用管 修改已被释放的空闲块中的内容到底有什么用，我们现在只需要知道。
浅析 - 阿里巴巴专家教你坚持写作
木深的博客
11-23 7077
大家好，我是木小深，高级产品经理。我们的公众号主要是分享关于产品经理个人成长和职业发展相关的话题。今天分享的产品经理个人成长中，关于为什么要坚持写作的思考。 初稿｜木深、木小深 编辑｜牟深、Sam、Ella 1、前言 你有写作的习惯吗？很多产品经理的回答是：我为什么要写作呢？很多人觉得写作是一件有难度的事情，其实写作的动机就藏在日常工作中，那些在酝酿中的奇思妙想，那些稍纵即逝的编程思路，那些金光闪闪的 battle 瞬间……都是写作的素材。 目前很多产品经理已经通过自己的个人博客或者公众号来进行经验..
Freebase Data Dump结构初探
热门推荐
徒步浪人的专栏
02-02 1万+
最近要做知识库相关的东西，于是就有机会认识一下Freebase。 从官网上下载了30G的Data Dump，有些不知该怎么使用，于是花了许多天了解。 首先简单说一下Freebase是什么，Freebase乍看上去类似Wikipedia，可以在上面浏览到许多信息条目，其成员可以在上面进行条目创作。与Wikipedia不同的是，Freebase采用结构化的数据形式，而Wikipedia则不
内存踩踏类型及其原因浅析
享受、分享
02-16 1052
（Memory Corruption）是指程序错误地访问或修改了不应该访问的内存区域，导致程序行为异常或崩溃。内存踩踏是 C/C++ 等低级语言中常见的错误类型，通常难以调试和修复。
综合交易平台CTP Linux Double Free解决方案
03-16
CTP开发中，如果把Trade，Market的so放在一起开发，如果不做处理，会遇到double free or corruption(!prev)的错误，基本如下： *** glibc detected *** ./bin/quant_ctp_XTrader_no_debug_2017-03-16_15-36-20: double free or corruption (!prev): 0x0000000001d71120 *** ======= Backtrace: ========= /lib64/libc.so.6[0x32b4a75f3e] /lib64/libc.so.6[0x32b4a78dd0] /usr/lib64/libthosttraderapi.so(+0x184612)[0x7f3d1e503612] /lib64/libc.so.6(__cxa_finalize+0x9d)[0x32b4a35e7d] /usr/lib64/libthosttraderapi.so(+0x104b46)[0x7f3d1e483b46] 开发中我也遇到该问题，后辛苦找到解决办法。方案附送在该附件里，仅供参考。 仅供参考！仅供参考！仅供参考！ 重要的事情说三遍！ 使用此代码引起的任何损失，笔者不承担任何责任。
图解double free 原理
yy2014yy的博客
03-22 2985
理解double free
Double Free(how2heap)
个人笔记
06-23 205
Double Free目的原理分析 目的 实现任意地址写的控制流程操作。 原理分析 例：fastbin_dup_into_stack.c 实现栈上写。 关键处已添加注释理解（三处）。 #include <stdio.h> #include <stdlib.h> int main() { fprintf(stderr, "This file extends on fastbin_dup.c by tricking malloc into\n" "returning
关于C语言double free
weixin_38844714的博客
11-01 2616
一些简单的问题，但是却没有意识到。关于代码中double free的错误。   伪代码：     char * str = NULL;     str = (char *)malloc(sizeof (char)*num); //申请内存     free(str);     在一些循环函数中，我们经常会通过判断str是否为NULL,来判断数据的有效性，那么问题就来了     接上...
pwn-double free
xy_369的博客
05-21 567
指针情况：（只连续free两次xy1不行，有检查机制，中间必须free一个同等大小的chunk才能绕过检查机制，检查机制）一个神奇的现象：xy1 中输入的数据同时也输进了 Top chunk。1、代码及编译指令(运行环境：ubuntu16.04)
堆学习——Double Free
qq_41560595的博客
03-10 2934
Double Free，内容如其名，同一个内存块被释放两次。 示例代码 #include <stdio.h> #include <stdlib.h> #include <assert.h> int main() { fprintf(stderr, "This file demonstrates a simple double-free attack with fastbins.\n"); // 分配三个chunk:a、b、c。
PWN double free
最新发布
03-21
<think>好的，我现在需要回答用户关于PWN中double free漏洞的利用方法和防御措施的问题。首先，我需要回忆一下double free的基本概念。Double free指的是在程序中多次释放同一块内存，这可能导致内存管理数据结构的破坏，进而被攻击者利用。 根据引用[1]中提到，常规题目中主函数可能存在触发shell的条件，但free函数对UAF（Use After Free）和double free（df）有防御措施，无法直接突破。然而，edit函数存在漏洞，允许控制写入字节，导致overlapping攻击。这说明即使有防御，如果其他函数存在漏洞，仍可能被利用。 接下来，引用[2]指出，double free原语几乎无懈可击，但UAF或溢出类漏洞需要精确修改结构体中的特定位置值。如果攻击者能控制写入的位置和内容，就能绕过防御，比如修改chunk的指针，构造任意地址读写。 然后，引用[3]关于堆风水的部分提到，堆排布是堆漏洞利用的关键，需要熟悉glibc的内存管理策略。破坏堆内存管理的数据结构如bin或chunk，可以导致任意内存读写或控制流劫持。防御方法包括Heap Canary、CFI、ASLR等。 现在，结合这些信息，我需要整理利用double free的步骤。首先，触发double free，连续释放同一chunk两次，这会使得bin链表出现循环。接着，通过堆排布，重新分配这些chunk，并利用edit函数修改fd或bk指针，指向伪造的chunk。然后，分配伪造的chunk，实现任意地址写，比如修改GOT表或函数指针，最后劫持控制流执行shellcode或ROP链。 防御措施方面，引用[2]和[3]提到，glibc的改进如tcache double free检测，在释放时会检查chunk是否已在链表中。此外，Heap Canary可以检测堆溢出，ASLR和DEP增加利用难度。代码审计和安全机制如CFI也能有效防御。 需要确保回答结构清晰，分点说明利用方法和防御措施，并引用提供的资料。同时，按照用户要求，生成相关问题，例如利用步骤、防御技术、绕过方法等。</think>### PWN中double free漏洞的利用与防御分析 #### 1. Double Free漏洞原理 double free指对同一块堆内存进行多次释放，破坏glibc内存管理结构（如tcache或fastbin的链表），导致内存布局可控。例如，连续释放chunk A两次后，其fd指针可能形成循环链表，后续分配时可构造重叠的chunk，最终实现任意地址读写或控制流劫持[^2][^3]。 #### 2. 利用方法及步骤 **典型利用流程**： 1. **触发double free**：通过程序逻辑连续释放同一chunk两次，例如： ```c free(ptr); free(ptr); // 触发double free ``` 2. **堆排布（Heap Feng Shui）**：通过分配特定大小的chunk，控制内存布局，使后续分配的chunk覆盖关键数据。 3. **修改链表指针**：利用存在漏洞的`edit`函数修改chunk的`fd`或`bk`指针，指向伪造的chunk（如GOT表、`__free_hook`等）[^1]。 4. **分配伪造chunk**：通过`malloc`获取指向目标地址的指针，实现任意地址写入，例如修改`__free_hook`为`system`地址。 5. **触发执行流劫持**：调用`free`或相关函数时，跳转至攻击者控制的代码（如ROP链或shellcode）[^4]。 **示例场景**： 若程序允许写入释放后的chunk，攻击者可构造如下payload： ```python # 假设chunk大小为0x20 add(0x20, "A") # chunk A free(0) free(0) # double free edit(0, p64(libc_base + 0x1eeb28)) # 修改fd指针指向__free_hook add(0x20, "B") # 分配chunk A add(0x20, "/bin/sh") # 分配chunk A的fd指向位置（即__free_hook） add(0x20, p64(system_addr)) # 将__free_hook覆盖为system free("/bin/sh") # 触发system("/bin/sh") ``` #### 3. 防御措施 1. **glibc防护机制**： - **tcache double free检测**：glibc 2.29+在释放时会检查chunk是否已在tcache链表中。 - **fastbin完整性校验**：分配时验证`fd`指针是否指向合法内存区域。 2. **堆内存保护技术**： - **Heap Canary**：检测堆溢出对管理结构的破坏。 - **Safe-Linking**（glibc 2.32+）：对链表指针进行异或加密，增加伪造难度。 3. **系统级防护**： - **ASLR**：随机化地址空间，增加定位目标的难度。 - **DEP**：阻止攻击者执行堆栈中的shellcode[^3]。 4. **代码审计**： - 严格检查`free`前后指针置空情况，避免悬垂指针。 - 限制用户对chunk内容的写入范围和权限。 #### 4. 绕过防御的常见方法 - **利用其他漏洞组合**：若存在堆溢出或UAF，可覆盖`key`字段（tcache的double free检测标志）。 - **构造特定内存布局**：通过大量分配/释放操作，使伪造的chunk通过glibc的完整性检查。 - **劫持控制流的替代目标**：若`__free_hook`被保护，可转向修改`_IO_FILE`结构体或ROP链[^4]。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值