-
-
unlink 系列
-
发表于: 2018-9-26 11:32
-
昨天接触到了一个新的堆溢出技巧——unlink。
unlink 用来将一个双向链表（只存储空闲的 chunk）中的一个元素取出来，可能在以下地方使用
malloc
从恰好大小合适的 large bin 中获取 chunk。
这里需要注意的是 fastbin 与 small bin 就没有使用 unlink，这就是为什么漏洞会经常出现在它们这里的原因。
依次遍历处理 unsorted bin 时也没有使用 unlink 的。
从比请求的 chunk 所在的 bin 大的 bin 中取 chunk。
Free
后向合并，合并物理相邻低地址空闲 chunk。
前向合并，合并物理相邻高地址空闲 chunk（除了 top chunk）。
malloc_consolidate
后向合并，合并物理相邻低地址空闲 chunk。
前向合并，合并物理相邻高地址空闲 chunk（除了 top chunk）。
realloc
前向扩展，合并物理相邻高地址空闲 chunk（除了top chunk）。
unlink 用来将一个双向链表（只存储空闲的 chunk）中的一个元素取出来，可能在以下地方使用
malloc
从恰好大小合适的 large bin 中获取 chunk。
这里需要注意的是 fastbin 与 small bin 就没有使用 unlink，这就是为什么漏洞会经常出现在它们这里的原因。
依次遍历处理 unsorted bin 时也没有使用 unlink 的。
从比请求的 chunk 所在的 bin 大的 bin 中取 chunk。
Free
后向合并，合并物理相邻低地址空闲 chunk。
前向合并，合并物理相邻高地址空闲 chunk（除了 top chunk）。
malloc_consolidate
后向合并，合并物理相邻低地址空闲 chunk。
前向合并，合并物理相邻高地址空闲 chunk（除了 top chunk）。
realloc
前向扩展，合并物理相邻高地址空闲 chunk（除了top chunk）。
2014 HITCON stkof
-virtual-machine:~/Desktop/CTF/summer/unlink/2014_hitcon_stkof$ checksec stkof [*] '/home/wby/Desktop/CTF/summer/unlink/2014_hitcon_stkof/stkof' Arch: amd64-64-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x400000)
-virtual-machine:~/Desktop/CTF/summer/unlink/2014_hitcon_stkof$ checksec stkof [*] '/home/wby/Desktop/CTF/summer/unlink/2014_hitcon_stkof/stkof' Arch: amd64-64-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x400000)
查看一下现在的内存信息：
pwndbg> heap
0x18df000 PREV_INUSE { 这一个是fgets申请的输入缓冲
prev_size = 0x0,
size = 0x1011,
fd = 0xa0a32330a31,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0010 FASTBIN { new 1
prev_size = 0x0,
size = 0x31,
fd = 0x0,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0040 PREV_INUSE { printf申请的输出缓冲
prev_size = 0x0,
size = 0x411,
fd = 0xa4b4f,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0450 FASTBIN { new 2
prev_size = 0x0,
size = 0x41,
fd = 0x0,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0490 PREV_INUSE { new 3 必须不在fastbin范围中，不然free操作时不会向前合并空闲内存
prev_size = 0x0,
size = 0x91,
fd = 0x0,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0520 FASTBIN { new 4 最后用来防止"/bin/sh\00"字符串
prev_size = 0x0,
size = 0x31,
fd = 0x0,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
0x18e0550 PREV_INUSE {
prev_size = 0x0,
size = 0x20ab1,
fd = 0x0,
bk = 0x0,
fd_nextsize = 0x0,
bk_nextsize = 0x0
}
查看一下存储申请的全局变量，那我们给他一个名字global:
pwndbg> x/6xg 0x602140
0x602140: 0x0000000000000000 0x00000000018e0020
0x602150: 0x00000000018e0460 0x00000000018e04a0
0x602160: 0x00000000018e0530 0x0000000000000000
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
