堆溢出学习笔记(linux)

  本文主要是linux下堆的数据结构及堆调试、堆溢出利用的一些基础知识

  首先，linux下堆的数据结构如下

/*
  This struct declaration is misleading (but accurate and necessary).
  It declares a "view" into memory allowing access to necessary
  fields at known offsets from a given base. See explanation below.
*/
struct malloc_chunk {

  INTERNAL_SIZE_T      prev_size;  /* Size of previous chunk (if free).  */
  INTERNAL_SIZE_T      size;       /* Size in bytes, including overhead. */

  struct malloc_chunk* fd;         /* double links -- used only if free. */
  struct malloc_chunk* bk;

  /* Only used for large blocks: pointer to next larger size.  */
  struct malloc_chunk* fd_nextsize; /* double links -- used only if free. */
  struct malloc_chunk* bk_nextsize;
};

• prev_size, 如果该 chunk 的物理相邻的前一地址chunk（两个指针的地址差值为前一chunk大小）是空闲的话，那该字段记录的是前一个 chunk 的大小(包括 chunk 头)。否则，该字段可以用来存储物理相邻的前一个chunk 的数据。这里的前一 chunk 指的是较低地址的 chunk 。
• size ，该 chunk 的大小，大小必须是 2 * SIZE_SZ 的整数倍。如果申请的内存大小不是 2 * SIZE_SZ 的整数倍，会被转换满足大小的最小的 2 * SIZE_SZ 的倍数。32 位系统中，SIZE_SZ 是 4；64 位系统中，SIZE_SZ 是 8。 该字段的低三个比特位对 chunk 的大小没有影响，它们从高到低分别表示
  • NON_MAIN_ARENA，记录当前 chunk 是否不属于主线程，1表示不属于，0表示属于。
  • IS_MAPPED，记录当前 chunk 是否是由 mmap 分配的。
  • PREV_INUSE，记录前一个 chunk 块是否被分配。一般来说，堆中第一个被分配的内存块的 size 字段的P位都会被设置为1，以便于防止访问前面的非法内存。当一个 chunk 的 size 的 P 位为 0 时，我们能通过 prev_size 字段来获取上一个 chunk 的大小以及地址。这也方便进行空闲chunk之间的合并。
• fd，bk。 chunk 处于分配状态时，从 fd 字段开始是用户的数据。chunk 空闲时，会被添加到对应的空闲管理链表中，其字段的含义如下
  • fd 指向下一个（非物理相邻）空闲的 chunk
  • bk 指向上一个（非物理相邻）空闲的 chunk
  • 通过 fd 和 bk 可以将空闲的 chunk 块加入到空闲的 chunk 块链表进行统一管理
• fd_nextsize， bk_nextsize，也是只有 chunk 空闲的时候才使用，不过其用于较大的 chunk（large chunk）。
  • fd_nextsize 指向前一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
  • bk_nextsize 指向后一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
  • 一般空闲的 large chunk 在 fd 的遍历顺序中，按照由大到小的顺序排列。这样做可以避免在寻找合适chunk 时挨个遍历。

以上内容摘自CTF-WIKI https://ctf-wiki.github.io/ctf-wiki/pwn/heap/heap_structure/#top-chunk

给出一个简单堆溢出的例子

#include <stdio.h>

int main(void) 
{
  char *chunk;
  chunk=malloc(24);
  puts("Get input:");
  gets(chunk);
  return 0;
}

gcc -no-pie -p example1 example1.c编译程序

objdump -d example1查看main函数地址，然后gdb在main函数起始位置下断点。

当执行到0x400589时查看rax内容即为malloc分配堆的起始地址。

执行完0x405a5时 x/10xg 0x602250用‘A'*100覆盖堆查看堆溢出情况（Gdb指令查看手册https://darkdust.net/files/GDB%20Cheat%20Sheet.pdf）

这里查看0x602250的原因是INTERNAL_SIZE_T默认和size_t一致，32位系统下size_t 4字节，64位系统下size_t 8字节。malloc返回的堆地址指针实际是 struct malloc_chunk* fd的fd，所以64位系统下查看堆首需要用返回的堆地址减去16字节的堆头。

我们在重新看一下堆覆盖之前的堆内容

size部分的最后三个字节分别表示特定含义（见上数据结构），用户真正可用的堆地址是0X602260-0X60226F，共16字节。申请24字节分配16字节的原因是32位系统8字节对齐，64位16位对齐；而分配的16字节能够存储24字节的原因是借用了下一块的pre_size域，16+8=24

关于申请内存到实际分配内存的转换

/* pad request bytes into a usable size -- internal version */
//MALLOC_ALIGN_MASK = 2 * SIZE_SZ -1
#define request2size(req)                                                      
    (((req) + SIZE_SZ + MALLOC_ALIGN_MASK < MINSIZE)                           
         ? MINSIZE                                                             
         : ((req) + SIZE_SZ + MALLOC_ALIGN_MASK) & ~MALLOC_ALIGN_MASK)

当申请内存+堆头大于MINSIZE时，返回((req) + SIZE_SZ + MALLOC_ALIGN_MASK) & ~MALLOC_ALIGN_MASK)这个结果。这个结果的意思是（用户申请内存大小+堆头）&~MALLOC_ALIGN_MASK。以64位系统申请24字节堆块为例，24+堆头=40 （101000）；MALLOC_ALIGN_MASK 01111取反10000，按位与的结果就是100000了，即32。

这样做可以满足用户申请内存需求的原因是，~(2*SIZE_SZ-1)其实就是操作系统的双字长，比如64位系统就是10000，这样按位与就能保证分配的内存最低4位为0，也就保证了分配堆块的字节对齐。

0X602270是top chunk的内容，top chunk是在第一次执行malloc时heap 会被分为两块，一块给用户，剩下的那块就是 top chunk。top chunk就是当前堆的物理地址最高chunk，这个chunk不属于任何bin。