本文主要是linux下堆的数据结构及堆调试、堆溢出利用的一些基础知识
首先，linux下堆的数据结构如下
/* This struct declaration is misleading (but accurate and necessary). It declares a "view" into memory allowing access to necessary fields at known offsets from a given base. See explanation below. */ struct malloc_chunk { INTERNAL_SIZE_T prev_size; /* Size of previous chunk (if free). */ INTERNAL_SIZE_T size; /* Size in bytes, including overhead. */ struct malloc_chunk* fd; /* double links -- used only if free. */ struct malloc_chunk* bk; /* Only used for large blocks: pointer to next larger size. */ struct malloc_chunk* fd_nextsize; /* double links -- used only if free. */ struct malloc_chunk* bk_nextsize; };
- prev_size, 如果该 chunk 的物理相邻的前一地址chunk（两个指针的地址差值为前一chunk大小）是空闲的话，那该字段记录的是前一个 chunk 的大小(包括 chunk 头)。否则，该字段可以用来存储物理相邻的前一个chunk 的数据。这里的前一 chunk 指的是较低地址的 chunk 。
- size ，该 chunk 的大小，大小必须是 2 * SIZE_SZ 的整数倍。如果申请的内存大小不是 2 * SIZE_SZ 的整数倍，会被转换满足大小的最小的 2 * SIZE_SZ 的倍数。32 位系统中，SIZE_SZ 是 4；64 位系统中，SIZE_SZ 是 8。 该字段的低三个比特位对 chunk 的大小没有影响，它们从高到低分别表示
- NON_MAIN_ARENA，记录当前 chunk 是否不属于主线程，1表示不属于，0表示属于。
- IS_MAPPED，记录当前 chunk 是否是由 mmap 分配的。
- PREV_INUSE，记录前一个 chunk 块是否被分配。一般来说，堆中第一个被分配的内存块的 size 字段的P位都会被设置为1，以便于防止访问前面的非法内存。当一个 chunk 的 size 的 P 位为 0 时，我们能通过 prev_size 字段来获取上一个 chunk 的大小以及地址。这也方便进行空闲chunk之间的合并。
- fd，bk。 chunk 处于分配状态时，从 fd 字段开始是用户的数据。chunk 空闲时，会被添加到对应的空闲管理链表中，其字段的含义如下
- fd 指向下一个（非物理相邻）空闲的 chunk
- bk 指向上一个（非物理相邻）空闲的 chunk
- 通过 fd 和 bk 可以将空闲的 chunk 块加入到空闲的 chunk 块链表进行统一管理
- fd_nextsize， bk_nextsize，也是只有 chunk 空闲的时候才使用，不过其用于较大的 chunk（large chunk）。
- fd_nextsize 指向前一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
- bk_nextsize 指向后一个与当前 chunk 大小不同的第一个空闲块，不包含 bin 的头指针。
- 一般空闲的 large chunk 在 fd 的遍历顺序中，按照由大到小的顺序排列。这样做可以避免在寻找合适chunk 时挨个遍历。
以上内容摘自CTF-WIKI https://ctf-wiki.github.io/ctf-wiki/pwn/heap/heap_structure/#top-chunk
给出一个简单堆溢出的例子
#include <stdio.h> int main(void) { char *chunk; chunk=malloc(24); puts("Get input:"); gets(chunk); return 0; }
gcc -no-pie -p example1 example1.c编译程序
objdump -d example1查看main函数地址，然后gdb在main函数起始位置下断点。
当执行到0x400589时查看rax内容即为malloc分配堆的起始地址。
执行完0x405a5时 x/10xg 0x602250用‘A'*100覆盖堆查看堆溢出情况（Gdb指令查看手册https://darkdust.net/files/GDB%20Cheat%20Sheet.pdf）
这里查看0x602250的原因是INTERNAL_SIZE_T默认和size_t一致，32位系统下size_t 4字节，64位系统下size_t 8字节。malloc返回的堆地址指针实际是 struct malloc_chunk* fd的fd，所以64位系统下查看堆首需要用返回的堆地址减去16字节的堆头。
我们在重新看一下堆覆盖之前的堆内容
size部分的最后三个字节分别表示特定含义（见上数据结构），用户真正可用的堆地址是0X602260-0X60226F，共16字节。申请24字节分配16字节的原因是32位系统8字节对齐，64位16位对齐；而分配的16字节能够存储24字节的原因是借用了下一块的pre_size域，16+8=24
关于申请内存到实际分配内存的转换
/* pad request bytes into a usable size -- internal version */ //MALLOC_ALIGN_MASK = 2 * SIZE_SZ -1 #define request2size(req) (((req) + SIZE_SZ + MALLOC_ALIGN_MASK < MINSIZE) ? MINSIZE : ((req) + SIZE_SZ + MALLOC_ALIGN_MASK) & ~MALLOC_ALIGN_MASK)
当申请内存+堆头大于MINSIZE时，返回((req) + SIZE_SZ + MALLOC_ALIGN_MASK) & ~MALLOC_ALIGN_MASK)这个结果。这个结果的意思是（用户申请内存大小+堆头）&~MALLOC_ALIGN_MASK。以64位系统申请24字节堆块为例，24+堆头=40 （101000）；MALLOC_ALIGN_MASK 01111取反10000，按位与的结果就是100000了，即32。
这样做可以满足用户申请内存需求的原因是，~(2*SIZE_SZ-1)其实就是操作系统的双字长，比如64位系统就是10000，这样按位与就能保证分配的内存最低4位为0，也就保证了分配堆块的字节对齐。
0X602270是top chunk的内容，top chunk是在第一次执行malloc时heap 会被分为两块，一块给用户，剩下的那块就是 top chunk。top chunk就是当前堆的物理地址最高chunk，这个chunk不属于任何bin。