堆溢出学习笔记(linux)

本文主要是linux下堆的数据结构及堆调试、堆溢出利用的一些基础知识

首先，linux下堆的数据结构如下

/*
  This struct declaration is misleading (but accurate and necessary).
  It declares a "view" into memory allowing access to necessary
  fields at known offsets from a given base. See explanation below.
*/
struct malloc_chunk { INTERNAL_SIZE_T prev_size; /* Size of previous chunk (if free). */ INTERNAL_SIZE_T size; /* Size in bytes, including overhead. */ struct malloc_chunk* fd; /* double links -- used only if free. */ struct malloc_chunk* bk; /* Only used for large blocks: pointer to next larger size. */ struct malloc_chunk* fd_nextsize; /* double links -- used only if free. */ struct malloc_chunk* bk_nextsize; };

prev_size, 如果该 chunk 的物理相邻的前一地址chunk（两个指针的地址差值为前一chunk大小）是空闲的话，那该字段记录的是前一个 chunk 的大小(包括 chunk 头)。否则，该字段可以用来存储物理相邻的前一个chunk 的数据。这里的前一 chunk 指的是较低地址的 chunk 。
size ，该 chunk 的大小，大小必须是 2 * SIZE_SZ 的整数倍。如果申请的内存大小不是 2 * SIZE_SZ 的整数倍，会被转换满足大小的最小的 2 * SIZE_SZ 的倍数。32 位系统中，SIZE_SZ 是 4；64 位系统中，SIZE_SZ 是 8。该字段的低三个比特位对 chunk 的大小没有影响，它们从高到低分别表示
- NON_MAIN_ARENA，记录当前 chunk 是否不属于主线程，1表示不属于，0表示属于。
- IS_MAPPED，记录当前 chunk 是否是由 mmap 分配的。
- PREV_INUSE，记录前一个 chunk 块是否被分配。一般来说，堆中第一个被分配的内存块的 size 字段的P位都会被设置为1，以便于防止访问前面的非法内存。当一个 chunk 的 size 的 P 位为 0 时，我们能通过 prev_size 字段来获取上一个 chunk 的大小以及地址。这也方便进行空闲chunk之间的合并。
fd，bk。 chunk 处于分配状态时，从 fd 字段开始是用户的数据。chunk 空闲时，会被添加到对应的空闲管理链表中，其字段的含义如下
- fd 指向下一个（非物理相邻）空闲的 chunk
- bk 指向上一个（非物理相邻）空闲的 chunk
- 通过 fd 和 bk 可以将空闲的 chunk 块加入到空闲的 chunk 块链表进行统一管理
fd_nextsize， bk_nextsize，也是只有 chunk 空闲的时候才使用，不过其用于较大的 chunk（large chunk）。
- fd_nextsize 指向前一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
- bk_nextsize 指向后一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
- 一般空闲的 large chunk 在 fd 的遍历顺序中，按照由大到小的顺序排列。这样做可以避免在寻找合适chunk 时挨个遍历。

以上内容摘自CTF-WIKI https://ctf-wiki.github.io/ctf-wiki/pwn/heap/heap_structure/#top-chunk

给出一个简单堆溢出的例子

#include <stdio.h>

int main(void) 
{
  char *chunk;
  chunk=malloc(24);
  puts("Get input:");
  gets(chunk);
  return 0;
}

gcc -no-pie -p example1 example1.c编译程序

objdump -d example1查看main函数地址，然后gdb在main函数起始位置下断点。

当执行到0x400589时查看rax内容即为malloc分配堆的起始地址。

执行完0x405a5时 x/10x 0x602250用‘A'*100覆盖堆查看堆溢出情况（Gdb指令查看手册https://darkdust.net/files/GDB%20Cheat%20Sheet.pdf）

这里查看0x602250的原因是INTERNAL_SIZE_T默认和size_t一致，32位系统下size_t 4字节，64位系统下size_t 8字节。malloc返回的堆地址指针实际是 struct malloc_chunk* fd的fd，所以64位系统下查看堆首需要用返回的堆地址减去16字节的堆头。

我们在重新看一下堆覆盖之前的堆内容

size部分的最后三个字节分别表示特定含义（见上数据结构），用户真正可用的堆地址是0X602260-0X60226F，共32字节。申请24字节分配32字节的原因是32位系统8字节对齐，64位16位对齐。

0X602270是top chunk的内容，top chunk是在第一次执行malloc时heap 会被分为两块，一块给用户，剩下的那块就是 top chunk。top chunk就是当前堆的物理地址最高chunk，这个chunk不属于任何bin。

未完待续。。。

堆溢出学习笔记(linux)

猜你喜欢