Double Free
Podstawowe informacje
Jeśli zwolnisz blok pamięci więcej niż raz, może to zepsuć dane alokatora i otworzyć drzwi do ataków. Oto jak to się dzieje: gdy zwalniasz blok pamięci, wraca on do listy wolnych kawałków (np. "szybki bin"). Jeśli zwolnisz ten sam blok dwa razy z rzędu, alokator to wykrywa i zgłasza błąd. Ale jeśli zwolnisz inny kawałek pomiędzy, sprawdzenie podwójnego zwolnienia jest omijane, co powoduje uszkodzenie.
Teraz, gdy poprosisz o nową pamięć (używając malloc
), alokator może dać ci blok, który został zwolniony dwa razy. Może to prowadzić do dwóch różnych wskaźników wskazujących na to samo miejsce w pamięci. Jeśli atakujący kontroluje jeden z tych wskaźników, może zmienić zawartość tej pamięci, co może powodować problemy z bezpieczeństwem lub nawet pozwolić im na wykonanie kodu.
Przykład:
W tym przykładzie, po wypełnieniu tcache kilkoma zwolnionymi kawałkami (7), kod zwalnia kawałek h
, następnie kawałek i
, a potem h
ponownie, co powoduje podwójne zwolnienie (znane również jako Fast Bin dup). Otwiera to możliwość uzyskania nakładających się adresów pamięci podczas ponownej alokacji, co oznacza, że dwa lub więcej wskaźników może wskazywać na tę samą lokalizację pamięci. Manipulowanie danymi przez jeden wskaźnik może następnie wpłynąć na drugi, co stwarza krytyczne ryzyko bezpieczeństwa i potencjał do wykorzystania.
Wykonując to, zauważ, jak i1
i i2
uzyskały ten sam adres:
Przykłady
Możemy alokować tylko kawałki o rozmiarze Fast-Bin, z wyjątkiem rozmiaru
0x70
, co uniemożliwia zwykłe nadpisanie__malloc_hook
.Zamiast tego używamy adresów PIE, które zaczynają się od
0x56
jako celu dla Fast Bin dup (1/2 szansy).Jednym z miejsc, w których przechowywane są adresy PIE, jest
main_arena
, który znajduje się w Glibc i blisko__malloc_hook
.Celujemy w konkretny offset
main_arena
, aby alokować kawałek tam i kontynuować alokację kawałków, aż dotrzemy do__malloc_hook
, aby uzyskać wykonanie kodu.Używając pojemników Tcache i przepełnienia null-byte, możemy osiągnąć sytuację podwójnego zwolnienia:
Alokujemy trzy kawałki o rozmiarze
0x110
(A
,B
,C
)Zwalniamy
B
Zwalniamy
A
i alokujemy ponownie, aby wykorzystać przepełnienie null-byteTeraz pole rozmiaru
B
wynosi0x100
, zamiast0x111
, więc możemy je zwolnić ponownieMamy jeden pojemnik Tcache o rozmiarze
0x110
i jeden o rozmiarze0x100
, które wskazują na ten sam adres. Mamy więc podwójne zwolnienie.Wykorzystujemy podwójne zwolnienie, używając Tcache poisoning
Odniesienia
Last updated