【Linux堆利用】Fastbin Double Free

本是古典何须时尚 2023-02-18 04:27 6阅读 0赞

Double Free是针对fastbin的攻击，字面意思就是重复释放内存，也就是两次`free()同一块内存`导致的漏洞。

由于fastbin的机制，在满足fastbin的chunk在被释放后它下一个chunk的P位不会被置为0，也就是说即使当前chunk被释放掉了，但是他的next\_chunk的P为还依然为1（1表示前一个chunk正在使用中），但他却是已经被`free()`掉了，这样做的目的是为了防止chunk被合并（因为现实证明，就是程序通常会申请小内存块比较频繁，如果每次申请释放都重复分割合并，会导致性能非常低下，这也是为什么将P为置1的原因，P位为1代表前一个chunk正在使用中，就无法合并了，然后当我们申请的小内存满足fastbin，就会直接从fastbin中直接返回chunk给我们），对于fastbin的ptmalloc实现而言，在我们`free`的时候仅仅验证了`main_arena`直接指向的块，也就是链表指针头部的块。当我们两次重复`free`同一块内存，就会触发ptmalloc的验证机制直接报错**double free**（\_int\_free函数的检测）

ptr = malloc(0x10);
    free(ptr);
    free(ptr); // 两次连续重复释放同一块内存，就会报错
    // _int_free的检测机制

但是要绕过这个检测也非常简单，因为上面说了ptmalloc只验证`main_arena`指向的块，也就是头部块（就是每次释放的chunk都和上一次释放的chunk进行比较，如果发现是同一块就会报错）

ptr = malloc(0x10);
    ptr1 = malloc(0x10);
    free(ptr);
    free(ptr1);
    free(ptr); // 这样也达到了重复释放ptr指向的chunk的目的，但是不会触发检测机制，因为上一次的释放的事ptr1, 现在释放的事ptr，只要ptr ！= ptr1 就会通过检测，这样的代码不会有任何异常

正是因为这样，问题来了。  
还要回到chunk的结构，我们知道chunk的`free`释放以后，它本来的用户空间会存放它的上一个释放的chunk的指针，也就是`fd`指针（fastbin只使用了fd指针，释放的chunk通过fd指针构成`单链表，且满足后进先出`）会存放在size域的下一个字段fd，因为这样的结构，fastbin中的指针永远指向最进一次释放的chunk，申请的时候也是分配fastbin指向的chunk，所以就是一种典型的后进先出（最后释放的chunk最先被申请）的结构。

第一次我们释放`ptr`时候，fastbin指针指向ptr，此时fastbin中不存在已经释放过的chunk，所以ptr的fd指针指向0  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70]  
第二次释放`ptr1`的时候，由于已经存在之前释放的ptr，所以ptr1的fd指针就会存放ptr的指针，而且fastbin同时修改指针指向ptr1  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 1]  
第三次当我们又再一次`free`释放ptr的时候，虽然之前已经`free`过了，但是现fastbin指向的chunk是ptr1，(也就是前面说得上一次释放的chunk)，并不会触发`_int_free`的检测机制，所以当又一次释放完了ptr的时候，此时的结构就变成了，fastbin指向ptr，ptr指向ptr1，ptr1指向ptr，而ptr又指向ptr1  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 2]  
当我们重复释放ptr，就会形成上面的结构

ptr = malloc(0x10);
    ptr.fd = 0x1234; // 修改ptr的fd指针指向0x1234

当我们指向完上述的代码后，现在又会变成什么样？

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 3]  
当我们再次分配内存的时候

malloc(0x10); // 分配到ptr1
    malloc(0x10); // 分配到ptr
    ptr_0x1234 = malloc(0x10);	// 再一次分配，内存就分配到了我们指定的位置了

这样的话就可以实现任意地址写了…

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200616091421783.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200616091716934.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200616093419144.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg==,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200616094047859.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzgzMzY0Mg==,size_16,color_FFFFFF,t_70