首页
论坛
课程
招聘
[求助] 关于堆喷(堆块合并失败)的问题
2019-12-23 21:29 1129

[求助] 关于堆喷(堆块合并失败)的问题

2019-12-23 21:29
1129

就是有一个漏洞是这样的

    Adobe 内核代码  js代码
    |                  |
    |                  |
    |    --callback->  |
    |                  |

在Adobe内核代码会触发一个用户回调, 然后在JS代码处会释放它(释放的大小是0xb0). 所以为了利用它. 我需要控制这个0xb0的内存块.

---- 0xb0大小内存块
+ 0x0 vtable    - 第一个dword处会去存放一个vTable, 我需要控制这个vTable
---  0xb0大小内存块

如果直接用U32Arr来喷的话, 前面会有一个头部, 所以我没办法控制vTable. 所以我改了下我的思路.

 

在Callback的时候, 我把0xb0内存块相连的部分也给Free了. 这样的话就变成这样.

 

b0(busy) b0(free) b0(漏洞free的) b0(busy) b0(free) b0(free).

 

这样堆块合并之后有了一个 0xb0*2 + 8(_HEAP_ENTRY) = 0x168的内存块. 这样我在用0x168的内存块重新占用这个内存, 就可以完全控制那个内存块的内容了.

 

但是当我去观察的时候, 我发现虽然两个相连的内存块是Free的, 但是并没有得到合并...

07808508 0017 0017  [00]   07808510    000b0 - (busy)
        078085c0 0017 0017  [00]   078085c8    000b0 - (free)
        07808678 0017 0017  [00]   07808680    000b0 - (free)
        07808730 0017 0017  [00]   07808738    000b0 - (busy)
        078087e8 0017 0017  [00]   078087f0    000b0 - (free)
        078088a0 0017 0017  [00]   078088a8    000b0 - (free)
        07808958 0017 0017  [00]   07808960    000b0 - (busy)
        07808a10 0017 0017  [00]   07808a18    000b0 - (free)
        07808ac8 0017 0017  [00]   07808ad0    000b0 - (free)
        07808b80 0017 0017  [00]   07808b88    000b0 - (busy)
        07808c38 0017 0017  [00]   07808c40    000b0 - (free)
        07808cf0 0017 0017  [00]   07808cf8    000b0 - (free)
        07808da8 0017 0017  [00]   07808db0    000b0 - (busy)
        07808e60 0017 0017  [00]   07808e68    000b0 - (free)
        07808f18 0017 0017  [00]   07808f20    000b0 - (free)
        07808fd0 0017 0017  [00]   07808fd8    000b0 - (busy)
        07809088 0017 0017  [00]   07809090    000b0 - (free)
        07809140 0017 0017  [00]   07809148    000b0 - (free)
        078091f8 0017 0017  [00]   07809200    000b0 - (busy)
        078092b0 0017 0017  [00]   078092b8    000b0 - (free)

请问有师傅知道为什么和解决思路么. 感激不尽.


看雪学院推出的专业资质证书《看雪安卓应用安全能力认证 v1.0》(中级和高级)!

收藏
点赞0
打赏
分享
最新回复 (2)
雪    币: 458
活跃值: 活跃值 (40)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
求学磊磊 活跃值 2019-12-23 21:40
2
0
LFH不合并
雪    币: 611
活跃值: 活跃值 (200)
能力值: (RANK:150 )
在线值:
发帖
回帖
粉丝
wjzid 活跃值 3 2019-12-23 21:41
3
0
求学磊磊 LFH不合并
果然是这个问题... 那么, 是不是意味着这种思路就失败了呀.
游客
登录 | 注册 方可回帖
返回