分享一种新的glibc中IO利用思路，暂且命名为house of apple。

house of apple系列利用方法文章：

众所周知，glibc高版本逐渐移除了__malloc_hook/__free_hook/__realloc_hook等等一众hook全局变量，ctf中pwn题对hook钩子的利用将逐渐成为过去式。而想要在高版本利用成功，基本上就离不开对IO_FILE结构体的伪造与IO流的攻击。之前很多师傅都提出了一些优秀的攻击方法，比如house of pig、house of kiwi 和 house of emma等。

其中，house of pig除了需要劫持IO_FILE结构体，还需要劫持tcache_perthread_struct结构体或者能控制任意地址分配；house of kiwi则至少需要修改三个地方的值：_IO_helper_jumps + 0xA0和_IO_helper_jumps + 0xA8，另外还要劫持_IO_file_jumps + 0x60处的_IO_file_sync指针；而house of emma则至少需要修改两个地方的值，一个是tls结构体的point_guard(或者想办法泄露出来)，另外需要伪造一个IO_FILE或替换vtable为xxx_cookie_jumps的地址。

总的来看，如果想使用上述方法成功地攻击IO，至少需要两次写或者一次写和一次任意地址读。而在只给一次任意地址写（如一次largebin attack）的情景下是很难利用成功的。

largebin attack是高版本中为数不多的可以任意地址写一个堆地址的方法，并常常和上述三种方法结合起来利用。本文将给出一种新的利用方法，在仅使用一次largebin attack并限制读写次数的条件下进行FSOP利用。顺便说一下，house of banana 也只需要一次largebin attack，但是其攻击的是rtld_global结构体，而不是IO流。

上述方法利用成功的前提均是已经泄露出libc地址和heap地址。本文的方法也不例外。

使用house of apple的条件为：
1、程序从main函数返回或能调用exit函数
2、能泄露出heap地址和libc地址
3、 能使用一次largebin attack（一次即可）

原理解释均基于amd64程序。

当程序从main函数返回或者执行exit函数的时候，均会调用fcloseall函数，该调用链为：

最后会遍历_IO_list_all存放的每一个IO_FILE结构体，如果满足条件的话，会调用每个结构体中vtable->_overflow函数指针指向的函数。

使用largebin attack可以劫持_IO_list_all变量，将其替换为伪造的IO_FILE结构体，而在此时，我们其实仍可以继续利用某些IO流函数去修改其他地方的值。要想修改其他地方的值，就离不开_IO_FILE的一个成员_wide_data的利用。

amd64程序下，struct _IO_wide_data *_wide_data在_IO_FILE中的偏移为0xa0：

我们在伪造_IO_FILE结构体的时候，伪造_wide_data变量，然后通过某些函数，比如_IO_wstrn_overflow就可以将已知地址空间上的某些值修改为一个已知值。

分析一下这个函数，首先将fp强转为_IO_wstrnfile *指针，然后判断fp->_wide_data->_IO_buf_base != snf->overflow_buf是否成立（一般肯定是成立的），如果成立则会对fp->_wide_data的_IO_write_base、_IO_read_base、_IO_read_ptr和_IO_read_end赋值为snf->overflow_buf或者与该地址一定范围内偏移的值；最后对fp->_wide_data的_IO_write_ptr和_IO_write_end赋值。

也就是说，只要控制了fp->_wide_data，就可以控制从fp->_wide_data开始一定范围内的内存的值，也就等同于任意地址写已知地址。

这里有时候需要绕过_IO_wsetb函数里面的free：

_IO_wstrnfile涉及到的结构体如下：

其中，overflow_buf相对于_IO_FILE结构体的偏移为0xf0，在vtable后面。

而struct _IO_wide_data结构体如下：

换而言之，假如此时在堆上伪造一个_IO_FILE结构体并已知其地址为A，将A + 0xd8替换为_IO_wstrn_jumps地址，A + 0xc0设置为B，并设置其他成员以便能调用到_IO_OVERFLOW。exit函数则会一路调用到_IO_wstrn_overflow函数，并将B至B + 0x38的地址区域的内容都替换为A + 0xf0或者A + 0x1f0。

简单写一个demo程序进行验证：

输出结果如下：

从输出中可以看到，已经成功修改了sdterr->_wide_data所指向的地址空间的内存。

从上面的分析可以，在只给了1次largebin attack的前提下，能利用_IO_wstrn_overflow函数将任意地址空间上的值修改为一个已知地址，并且这个已知地址通常为堆地址。那么，当我们伪造两个甚至多个_IO_FILE结构体，并将这些结构体通过chain字段串联起来就能进行组合利用。基于此，我总结了house of apple下至少四种利用思路。

该思路需要借助house of pig的思想，利用_IO_str_overflow中的malloc进行任意地址分配，memcpy进行任意地址覆盖。其代码片段如下：

利用步骤如下：

因为可以已经任意地址写任意值了，所以这可以控制的变量和结构体非常多，也非常地灵活，需要结合具体的题目进行利用，比如题目中_IO_xxx_jumps映射的地址空间可写的话直接修改其函数指针即可。

该思路与上述思路差不多，不过对tcachebin分配的劫持是通过修改mp_.tcache_bins这个变量。打这个结构体的好处是在攻击远程时不需要爆破地址，因为线程全局变量、tls结构体的地址本地和远程并不一定是一样的，有时需要爆破。

利用步骤如下：

该思路其实就是house of apple + house of emma。

利用步骤如下：

这个思路也很灵活，修改掉这个变量后，直接释放超大的chunk，去覆盖掉point_guard或者tcache变量。我称之为house of apple + house of corrision。

利用过程与前面也基本是大同小异，就不在此详述了。

其实也有其他的思路，比如还可以劫持main_arena，不过这个结构体利用起来会更复杂，所需要的空间将更大。而在上述思路的利用过程中，可以选择错位构造_IO_FILE结构体，只需要保证关键字段满足要求即可，这样可以更加节省空间。

这里以某次市赛的题为例，题目为pwn_oneday，附件下载链接在这里。

这个题目禁止了execve系统调用，能分配的chunk的大小基本是固定的，并且只允许1次读和1次写，最多只能分配0x10次，使用的glibc版本为2.34。

initial

首先是初始化，开启了沙盒：

main

main函数必须选一个key，大小在6-10。也就是说，分配的chunk都会属于largebin范围。

add

限制了只能分配key+0x10、key+0x20、2 * key + 0x10大小的chunk

dele

存在UAF，没有清空指针。

read

只给1次机会读。

write

只给一次机会写，并只泄露出0x10个字节的数据。

这道题的限制还是很多的，当然，给的漏洞也很明显。但是程序里面没有使用与IO有关的函数，全部使用原始的read/write去完成读写操作，并且使用glibc-2.34版本，这个版本里面去掉了很多的hook变量。

很明显，需要使用一次读泄露出libc地址和heap地址，然后用一次写做一次largebin attack。

如果用largebin attack去劫持_rtld_global的link_map成员，那么还需要一次写去绕过for (l = GL(dl_ns)[ns]._ns_loaded, i = 0; l != NULL; l = l->l_next)，否则这里会造成死循环；如果打l_addr成员，会发现能分配的堆的空间不足，l->l_info[DT_FINI_ARRAY]->d_un.d_ptr的值为0x201d70，而就算每次分配0xaa0 * 2 + 0x10，再分配16次也没这么大。至于劫持别的成员，受限于沙盒，也很难完成利用。

由于限制了读写次数为1次，就很难再泄露出pointer_guard的值，也很难再覆盖pointer_guard的值，所以与pointer_guard有关的利用也基本行不通。

因此，选择使用house of apple劫持_IO_FILE->_wide_data成员进行利用。

在利用之前，还有一些准备工作需要做。我们需要进行合理的堆风水布局，使得能够在修改一个largebin chunk A的bk_nextsize的同时伪造一个chunk B，并需要让A和B在同一个bins数组中，然后释放B并进行largebin attack，这样就能保证既完成任意地址写堆地址，也能控制写的堆地址所属的chunk的内容。

对三种大小chunk的size进行分析，并设x = key + 0x10，y = key + 0x20, z = key * 2 + 0x10。那么有：

题目中还存在UAF，于是就可以的构造出如下布局：

堆风水步骤为：

经过计算，这里选择key为0xa，此时chunk 1的大小为0xab0，伪造的chunk 3的大小为0xa80。

基于上面对house of apple的分析，首先使用思路三修改pointer_guard，然后进行house of emma利用。由于pointer_guard是fs:[0x30]，而canary是fs:[0x28]，所以直接找canary，然后利用pwndbg的search命令搜索即可，如下所示：

此时的利用步骤如下：

利用一次write的机会泄露出libc地址和heap地址

利用堆风水，构造1次largebin attack，替换_IO_list_all为堆地址

利用house of apple，修改掉pointer_guard的值

利用house of emma并结合几个gadgets控制rsp

用rop链输出flag

其exp如下：

调试截图如下：

修改掉pointer_guard：

然后使用_IO_cookie_read控制程序执行流：

成功劫持rsp：

接下来使用思路一，修改tcache变量，对于该变量的寻找同样可以使用search命令：

此时的步骤如下：

exp如下：

调试截图：

修改掉tache变量：

然后分配到_IO_str_jumps：

后面的过程就一样了：

最后成功输出flag:

之前的一些IO流攻击方法对_wide_data的关注甚少，本文提出一种新的方法，劫持了_wide_data成员并在仅进行1次largebin attack的条件下成功进行FSOP利用。且该方法可通杀所有版本的glibc。

可以看到，house of apple是对现有一些IO流攻击方法的补充，能在一次劫持IO流的过程中做到任意地址写已知值，进而构造出其他方法攻击成功的条件。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课