house of apple1

iam0range

已于 2025-02-20 14:24:11 修改

阅读量802

点赞数 36

CC 4.0 BY-SA版权

文章标签：网络安全 linux 网络安全

于 2025-02-20 14:23:40 首次发布

本文链接：https://blog.csdn.net/2301_80632317/article/details/145752705

house of apple1

漏洞成因

堆溢出

适用范围

2.23—— 至今
程序从 main 函数返回或能调用 exit 函数
能泄露出 heap 地址和 libc 地址
能使用一次 largebin attack（一次即可）

利用原理

原理解释均基于amd64程序。

当程序从main函数返回或者执行exit函数的时候，均会调用fcloseall函数，该调用链为：

exit
- fcloseall
  - _IO_cleanup
    - _IO_flush_all_lockp
      - _IO_OVERFLOW

最后会遍历_IO_list_all存放的每一个IO_FILE结构体，如果满足条件的话，会调用每个结构体中vtable->_overflow函数指针指向的函数。

使用largebin attack可以劫持_IO_list_all变量，将其替换为伪造的IO_FILE结构体，而在此时，我们其实仍可以继续利用某些IO流函数去修改其他地方的值。要想修改其他地方的值，就离不开_IO_FILE的一个成员_wide_data的利用。

利用_IO_wstr_overflow 将任意地址存储的值修改已知值：

struct _IO_FILE_complete
{
   
   
  struct _IO_FILE _file;
#endif
  __off64_t _offset;
  /* Wide character stream stuff.  */
  struct _IO_codecvt *_codecvt;
  struct _IO_wide_data *_wide_data;
  struct _IO_FILE *_freeres_list;
  void *_freeres_buf;
  size_t __pad5;
  int _mode;
  /* Make sure we don't get into trouble again.  */
  char _unused2[15 * sizeof (int) - 4 * sizeof (void *) - sizeof (size_t)];
};

amd64程序下，struct _IO_wide_data *_wide_data在_IO_FILE中的偏移为0xa0：

amd64：
 
0x0:'_flags',
0x8:'_IO_read_ptr',
0x10:'_IO_read_end',
0x18:'_IO_read_base',
0x20:'_IO_write_base',
0x28:'_IO_write_ptr',
0x30:'_IO_write_end',
0x38:'_IO_buf_base',
0x40:'_IO_buf_end',
0x48:'_IO_save_base',
0x50:'_IO_backup_base',
0x58:'_IO_save_end',
0x60:'_markers',
0x68:'_chain',
0x70:'_fileno',
0x74:'_flags2',
0x78:'_old_offset',
0x80:'_cur_column',
0x82:'_vtable_offset',
0x83:'_shortbuf',
0x88:'_lock',
0x90:'_offset',
0x98:'_codecvt',
0xa0:'_wide_data',
0xa8:'_freeres_list',
0xb0:'_freeres_buf',
0xb8:'__pad5',