網路安全滲透測試之musl堆利用技巧

2022-02-19 16:00:44

前言

最近比賽出的musl題型的越來越多，不得不學習一波musl的堆利用來應對今後的比賽。這裡要講的是musl1.22版本的利用，因為網上可以找到很多審計原始碼的文章，所以這篇文章是通過一道題目來debug去學習堆的利用技巧，這裡用到的是2021第五空間線上賽的notegame題目。

題目分析

1、首先是add函數，使用了calloc，申請的最大size是0x90

2、接著是delete函數,free之後將指標清空了

3、然後是edit函數，漏洞就出現在這裡，這裡存在溢位空位元組的漏洞，可以對index清零指向 fake_meta

4、最後來看這個update函數，這個realloc函數會將原來chunk的內容複製到新的chunk裡面，我們可以用這個來進行洩露libc地址

偵錯分析

musl的chunk跟glibc的區別就是，chunk頭的結構存放了比較少的堆塊資訊，沒有像glibc那樣存放了一些指標地址資訊，所以我們如果要洩露libc地址的話也是要特定的條件，就是要chunk裡面儲存著另外一個chunk的指標地址或者其他指標地址的資訊，而且也再不能直接改指標去達到任意分配的效果，而是要改chunk頭僅有的資訊去偽造meta進行任意分配。

malloc_context

add(0x20,'a'*0x20)

1、secret是用來校驗meta域的一個key

2、free_meta_head存放著釋放掉的meta，是個單連結串列結構，這裡還沒有釋放，所以為空

3、active是根據size大小分出來的不同的meta

4、usage_by_class是對應meta的數量

chunk

add(0x20,'a'*0x20)
add(0x20,'a'*0x20)
add(0x20,'a'*0x20)
add(0x20,'a'*0x20)
free(3)

1、表示距離group首地址的偏移分別為0x0、0x30、0x60，系統是根據這個偏移來找到對應的meta地址，所以我們如果能改這個偏移比如把chunk1的偏移置零的話，就能在chunk1-0x10的地方偽造一個meta的指標，而這個地方又是我們可以控制的chunk0的data域，於是我們就可以在任意地方偽造一個meta，不過這個地址必須是跟0x1000對齊的。

2、表示當前chunk的下標，當chunk被free之後會變成0xff

3、表示剩下使用者空間的大小，chunk頭後面的4個位元組跟glibc的prev_size那樣可以被上一個chunk複用，所以我們就可知道我們分配的大小跟chunk大小的關係

0x10：0-0xc
0x20：0xd-0x1c
0x30：0x1d-0x2c
0x40：0x2d-0x3c
...

chunk的分配釋放

add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
free(0)
add(0x50,'a'*0x50)

avail_mask = 0x10=0b10000

freed_mask = 0x1 =0b00001

musl的chunk釋放了之後並不會馬上分配，這裡group裡面有5個chunk，先是申請了3個chunk，然後free掉第一個，再次申請的時候並不會把第一個chunk分配出來，而是把group的第四個chunk申請出來，然後對應的avail_mask置零

add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
free(0)
free(1)
free(2)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)

avail_mask = 0x6 =0b0110

freed_mask = 0x0 =0b0000

耗盡group的chunk的時候，musl會把釋放掉的申請出來，並把其他chunk對應的avail_mask置1

meta的釋放

add(0x50,'a'*0x50)
free(0)

當只有一個chunk是被分配出去的，而freed_mask=0，我們把這個chunk給free掉之後，系統會回收整塊meta空間

add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
add(0x50,'a'*0x50)
free(0)
free(1)
free(2)
free(3)
free(4)

總結起來，就是說avail_mask |freed_mask的結果是滿狀態的時候，就會釋放這個meta。

總結

本篇先通過debug的方法來簡單闡述musl堆塊的結構，後續再講如何對它進行利用。

更多關於網路安全滲透測試musl堆的資料請關注it145.com其它相關文章！