转载

如何理解堆和堆溢出漏洞的利用？

这篇文章详细的描述了堆,并且会教你如何编写基于堆溢出漏洞的利用。

运行下面的程序：

#include <string.h>

#include <stdlib.h>

#include <stdio.h>

int main(int argc, char *argv[])

{

char *buf1 = malloc(128);

char *buf2 = malloc(256);

read(fileno(stdin), buf1, 200);

free(buf2);

free(buf1);

}

在第 10 行中，存在一个明显的可利用的溢出漏洞。那么首先我们就来了解下系统是怎样管理堆的。

0×01 基本堆和堆块的布局

每个程序分配的内存（这里指的是 malloc 函数）在内部被一个叫做 ” 堆块 ” 的所替代。一个堆块是由元数据和程序返回的内存组成的（实际上内存是 malloc 的返回值）。所有的这些堆块都是保存在堆上，这块内存区域在申请新的内存时会不断的扩大。同样，当一定数量的内存释放时，堆可以收缩。在 glibc 源码中定义的堆块如下：

struct malloc_chunk {

INTERNAL_SIZE_T prev_size; /* Size of previous chunk (if free). */

INTERNAL_SIZE_T size; /* Size in bytes, including overhead. */

struct malloc_chunk* fd; /* double links -- used only if free. */

struct malloc_chunk* bk;

/* Only used for large blocks: pointer to next larger size. */

struct malloc_chunk* fd_nextsize; /* double links -- used only if free. */

struct malloc_chunk* bk_nextsize;

};

假设内存中没有堆块释放，新分配的内存区域紧随之前申请的堆块后。因此如果一个程序依次调用malloc(256),malloc(512),以及malloc(1024)，内存布局如下：

Meta-data of chunk created by malloc(256)

The 256 bytes of memory return by malloc

—————————————–

Meta-data of chunk created by malloc(512)

The 512 bytes of memory return by malloc

—————————————–

Meta-data of chunk created by malloc(1024)

The 1024 bytes of memory return by malloc

—————————————–

Meta-data of the top chunk

在堆块之间的”—”是虚拟的边界，实际当中他们是彼此相邻的。你可能会问，为何我要在布局当中包含一个”顶块”元数据。顶级块表示堆中可利用的内存，而且是唯一的可以大小可以生长的堆块。当申请新的内存时，顶块分成两个部分：第一个部分变成所申请的堆块，第二个部分变为新的顶块（因此顶块大小可以收缩）。如果顶块不能够满足申请的内存区域大小，程序就会要求操作系统扩大顶块大侠（让堆继续生长）。

0×02 堆块结构解析

解析堆块需要依赖于当前堆块的状态。例如，在分配的堆块中只有 prev_size 和 size 字段，程序分配的缓冲区开始于 fd 字段。这就表示分配的堆块总是有 8 字节的元数据，在这之后才是缓冲区。而且奇怪的是 prev_size 字段不是被分配的堆块所使用！下面我们将会看到未分配的（释放）的堆块使用其他的字段。

另一个重点是，在 glibc 堆块中是 8 字节对齐的。为了简化内存的管理，堆块的大小总是 8 字节的倍数。这就表示 size 的最后 3 位可以是其他用途（正常情况下总是置 0 ）。只有第一位对我们很重要。如果这位置 1 ，就表示前面的堆块在使用。如果没有置 1 ，表示前面的堆块没有被使用。如果相关的内存被释放了，堆块就不会被使用（通过调用函数去释放）。

因此我们怎样判断当前堆块是否在使用？其实很简单：通过增加当前块的指针我们跟踪到下一个堆块，在这个堆块中，我们检查关键位是否置位来判断堆块是否在使用。

0×03 管理空闲块

我们知道当堆块释放后，在下一个堆块的 size 字段关键位一定会被清零。此外， prev_size 字段将会被设置成堆块释放状态。

已经释放的堆块同样使用 fd 和 bk 字段。这两个字段可以作为漏洞利用字段。 fd 字段指向之前的已释放堆块， bk 字段指向之后的已释放堆块。这就表示释放的堆块存储在一个双向链表中。然而所有的堆块不是保存在一个链表中的。实际上有很多链表保存释放的堆块。每个链表包含的是特定大小的堆块。这样的话搜索指定大小的堆块将会很快，因为只需要在指定大小的链表中搜索相应堆块。现在我们来矫正一下刚开始的陈述：当申请内存时，首先从具有相同大小的已经释放的堆块（或者大一点的堆块）中查找并重新使用这段内存。仅仅当没有找到合适的堆块时才会使用顶块。

最后，我们可以知道如何去利用了：释放堆块。当一个堆块释放了（通过调用 free 函数），它会检查之前的堆块是否被释放了。如果之前的堆块没有在使用，那么就会和当前的堆块合并。这样就会增加堆块的大小。结果就是这个堆块需要被放置在不同的链表中。这样的话，之前释放的堆块就需要首先从链表中删除，接着再和当前堆块合并到另一个合适的链表中。从一个链表中删除一个堆块的代码如下：

/* Take a chunk off a bin list */

void unlink(malloc_chunk *P, malloc_chunk *BK, malloc_chunk *FD)

{

FD = P->fd;

BK = P->bk;