House of Rabbit
必要条件
ファストビンのfdポインタまたはサイズを変更する能力: これは、ファストビン内のチャンクのフォワードポインタまたはサイズを変更できることを意味します。
malloc_consolidate
をトリガーする能力: これは、大きなチャンクを割り当てるか、トップチャンクをマージすることによって行うことができます。これにより、ヒープがチャンクを統合するようになります。
ゴール
オーバーラップするチャンクを作成する: 他のチャンクと重なるように1つのチャンクを作成し、さらなるヒープ操作を可能にします。
偽のチャンクを作成する: アロケータをだますために、偽のチャンクをヒープ操作中に正当なチャンクとして扱わせます。
攻撃の手順
POC 1: ファストビンチャンクのサイズを変更する
目的: ファストビンチャンクのサイズを操作して、オーバーラップするチャンクを作成します。
ステップ1: チャンクを割り当てる
ステップ 2: チャンクを解放する
ステップ 3: チャンクサイズの変更
ステップ 4:
malloc_consolidate
をトリガーする
大きなチャンクを割り当てると、malloc_consolidate
関数がトリガーされ、ファストビン内の小さなチャンクがマージされます。chunk1
の操作されたサイズにより、chunk2
と重なるようになります。
統合後、chunk1
は chunk2
と重なり、さらなる悪用が可能になります。
POC 2: fd
ポインタの変更
fd
ポインタの変更目的: ファストビンの fd
ポインタを操作してフェイクチャンクを作成します。
ステップ 1: チャンクの割り当て
説明: 2つのチャンクを割り当て、1つは小さく、もう1つは大きくして、フェイクチャンクのためにヒープをセットアップします。
ステップ2: フェイクチャンクの作成
ステップ 3:
chunk1
を解放する
説明: chunk1
を解放し、それをfastbinリストに追加します。
ステップ4:
chunk1
のfd
を修正
説明: chunk1
の前方ポインタ(fd
)をchunk2
内のフェイクチャンクを指すように変更します。
ステップ 5:
malloc_consolidate
をトリガーする
再度大きなチャンクを割り当てると、malloc_consolidate
がトリガーされ、偽のチャンクが処理されます。
偽のチャンクは fastbin リストの一部となり、さらなる攻撃のための正当なチャンクとなります。
要約
House of Rabbit テクニックは、高速ビンのチャンクのサイズを変更して重複するチャンクを作成するか、fd
ポインタを操作して偽のチャンクを作成することを含みます。これにより、攻撃者はヒープ内で正当なチャンクを偽造し、さまざまな形式の攻撃を可能にします。これらの手順を理解し、実践することで、ヒープの攻撃スキルを向上させることができます。
Last updated