1

我一直在研究计算机漏洞，并且已经在这个问题上工作了无数个小时。我似乎无法让堆正确溢出。尽管 glibc 检测到内存损坏，但在禁用 MALLOC_CHECK_ 后，我的程序会正确执行并退出，就好像覆盖块头无关紧要一样。我正在运行 Kubuntu 12.04。

该练习来自“The Shellcoder's Handbook, 2nd Edition”，也出现在 Heap Overflow 在线教程中。我已多次按照 T 的说明进行操作，并收到了相同的结果。

这是我的程序的代码：

/*basicheap*/
#include <stdio.h>
#include <string.h>
#include <stdlib.h>


int main(int argc, char ** argv){

    char *buf;
    char *buf2;

buf=(char*)malloc(1024);
buf2=(char*)malloc(1024);
printf("buf=%p buf2=%p\n", buf, buf2);
strcpy(buf,argv[1]);
free(buf2);
free(buf);
}

当我使用 glibc 写入缓冲区时：

xxx@xxx-xxx:~/CProgs$ ./basicheap $(perl -e 'print "A"x1028')
buf=0x9356718 buf2=0x9356b20
*** glibc detected *** ./basicheap: double free or corruption (!prev): 0x09356b20 ***
======= Backtrace: =========
[0x804abff]
[0x8048f4a]
[0x80490d6]
[0x8048e29]
======= Memory map: ========
08048000-080ec000 r-xp 00000000 08:07 6816172    /home/xxx/CProgs/basicheap
080ec000-080ee000 rw-p 000a3000 08:07 6816172    /home/xxx/CProgs/basicheap
080ee000-080f0000 rw-p 00000000 00:00 0 
09355000-09377000 rw-p 00000000 00:00 0          [heap]
b772a000-b772c000 rw-p 00000000 00:00 0 
b772c000-b772d000 r-xp 00000000 00:00 0          [vdso]
bfc14000-bfc36000 rw-p 00000000 00:00 0          [stack]
Aborted (core dumped)
xxx@xxx-xxx:~/CProgs$

当我在关闭 glibc 的情况下写入缓冲区时：

xxx@xxx-xxx:~/CProgs$ MALLOC_CHECK_=0 ./basicheap $(perl -e 'print "A"x1028')
buf=0xa077718 buf2=0xa077b20
xxx@xxx-xxx:~/CProgs$

没有覆盖的 Chunk 标头的 GDB：

(gdb) run $(perl -e 'print "A"x1024')
Starting program: /home/xxx/CProgs/basicheap $(perl -e 'print "A"x1024')
buf=0x80f1718 buf2=0x80f1b20

Breakpoint 1, main (argc=2, argv=0xbfffedf4) at basicheap.c:16
16      free(buf2);
(gdb) x/x buf2-4
0x80f1b1c:      0x00000409
(gdb) x/x buf2-8
0x80f1b18:      0x00000000
(gdb) x/x buf2-12
0x80f1b14:      0x41414141
(gdb)

带有覆盖的块头的 GDB：

(gdb) run $(perl -e 'print "A"x1032')
Starting program: /home/xxx/CProgs/basicheap $(perl -e 'print "A"x1032')
buf=0x80f1718 buf2=0x80f1b20

Breakpoint 1, main (argc=2, argv=0xbfffede4) at basicheap.c:16
16      free(buf2);
(gdb) x/x buf2-4
0x80f1b1c:      0x41414141
(gdb) x/x buf2-8
0x80f1b18:      0x41414141
(gdb) x/x buf2-12
0x80f1b14:      0x41414141
(gdb)

两次程序都正常退出。我错过了什么？他们是否改变了堆在最新版本的 Ubuntu 上的工作方式？任何帮助将不胜感激！

更新：我在 gdb 中逐步完成了程序集，发现我的程序进入了函数 free_check() 和函数 mem2chunk_check()。

在 mem2chunk_check() 函数中，我覆盖的值在 ESI 寄存器中被拾取，EDI 寄存器指向该值的地址。我看到它对我在 ESI 中的值所做的唯一一件事就是减去 1，然后转储该值。

经过多次谷歌搜索后，我无法找到有关 mem2chunk_check() 函数的任何文档。

这些堆溢出在现代系统上是否已经过时？

4

2 回答 2

1

在过去几年中，供应商默认使用任何内存操作功能的“强化”版本。例如，你得到'builtin_memset_chk'而不是memset，而不是strcpy，你得到'strcpy_chk'

为了使您的简单溢出程序正常工作，您必须使用以下内容构建程序：

-fno-stack-protector -D_FORTIFY_SOURCE=0
于 2012-08-09T08:11:49.870 回答
0

首先，现在，Linux 中的堆利用非常困难。好吧，如果它们溢出，很容易覆盖不同的缓冲区，但难的是执行任意代码。

如果你想知道堆利用的内部工作原理，你应该阅读我在这篇文章中提到的论文：使用堆溢出来写入任意数据

一旦你理解了这些概念，我会警告你说 malloc malleficarum 中使用/解释的大多数方法都（默默地）修补了。我不知道这些中的任何一个今天是否仍然有效。

另一方面，如果你真的想提高你的知识，我建议你下载 ptmalloc 实现（来自http://www.malloc.de/en/），它是基于 Linux 中分配器的一个，编译它（“make shared”，添加“-g”标志也很有用）并使用 LD_PRELOAD 加载它。这样，您将能够使用 gdb 一步一步地调试 malloc 代码。

祝你好运！

于 2012-08-27T15:17:48.220 回答