House of Lore | Small bin Attack

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Überprüfe die Abonnementpläne!

• Tritt der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folge uns auf Twitter 🐦 @hacktricks_live.

• Teile Hacking-Tricks, indem du PRs zu den HackTricks und HackTricks Cloud GitHub-Repos einreichst.

Grundinformationen

Code

• Überprüfe den von https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/house_of_lore/

• Das funktioniert nicht

• Oder: https://github.com/shellphish/how2heap/blob/master/glibc_2.39/house_of_lore.c

• Das funktioniert nicht, auch wenn es versucht, einige Überprüfungen zu umgehen, und den Fehler ausgibt: malloc(): unaligned tcache chunk detected

• Dieses Beispiel funktioniert noch: https://guyinatuxedo.github.io/40-house_of_lore/house_lore_exp/index.html

Ziel

• Füge einen falschen kleinen Chunk in den kleinen Bin ein, damit er dann zugewiesen werden kann. Beachte, dass der hinzugefügte kleine Chunk der gefälschte ist, den der Angreifer erstellt, und nicht ein gefälschter an einer beliebigen Position.

Anforderungen

• Erstelle 2 gefälschte Chunks und verlinke sie miteinander und mit dem legitimen Chunk im kleinen Bin:

• fake0.bk -> fake1

• fake1.fd -> fake0

• fake0.fd -> legit (du musst einen Zeiger im freigegebenen kleinen Bin Chunk über eine andere Schwachstelle ändern)

• legit.bk -> fake0

Dann wirst du in der Lage sein, fake0 zuzuweisen.

Angriff

• Ein kleiner Chunk (legit) wird zugewiesen, dann wird ein weiterer zugewiesen, um eine Konsolidierung mit dem oberen Chunk zu verhindern. Dann wird legit freigegeben (was ihn in die unsortierte Bin-Liste verschiebt) und ein größerer Chunk wird zugewiesen, was legit in den kleinen Bin verschiebt.

• Ein Angreifer generiert ein paar gefälschte kleine Chunks und macht die notwendigen Verlinkungen, um die Überprüfungen zu umgehen:

• fake0.bk -> fake1

• fake1.fd -> fake0

• fake0.fd -> legit (du musst einen Zeiger im freigegebenen kleinen Bin Chunk über eine andere Schwachstelle ändern)

• legit.bk -> fake0

• Ein kleiner Chunk wird zugewiesen, um legit zu erhalten, wodurch fake0 in die oberste Liste der kleinen Bins gelangt

• Ein weiterer kleiner Chunk wird zugewiesen, wobei fake0 als Chunk erhalten bleibt, was potenziell das Lesen/Schreiben von Zeigern innerhalb davon ermöglicht.

Referenzen

• https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/house_of_lore/

• https://heap-exploitation.dhavalkapil.com/attacks/house_of_lore

• https://guyinatuxedo.github.io/40-house_of_lore/house_lore_exp/index.html

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Überprüfe die Abonnementpläne!

• Tritt der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folge uns auf Twitter 🐦 @hacktricks_live.

• Teile Hacking-Tricks, indem du PRs zu den HackTricks und HackTricks Cloud GitHub-Repos einreichst.