WWW2Exec - __malloc_hook & __free_hook
Malloc Hook
Conforme site oficial da GNU, a variável __malloc_hook
é um ponteiro que aponta para o endereço de uma função que será chamada sempre que malloc()
for chamado armazenado na seção de dados da biblioteca libc. Portanto, se este endereço for sobrescrito com um One Gadget, por exemplo, e malloc
for chamado, o One Gadget será chamado.
Para chamar malloc é possível esperar o programa chamar ou chamando printf("%10000$c")
que aloca muitos bytes fazendo com que libc
chame malloc para alocá-los no heap.
Mais informações sobre One Gadget em:
One GadgetObserve que os hooks estão desativados para GLIBC >= 2.34. Existem outras técnicas que podem ser usadas em versões modernas do GLIBC. Veja: https://github.com/nobodyisnobody/docs/blob/main/code.execution.on.last.libc/README.md.
Free Hook
Isso foi abusado em um dos exemplos da página abusando de um ataque fast bin após ter abusado de um ataque unsorted bin:
Unsorted Bin AttackÉ possível encontrar o endereço de __free_hook
se o binário tiver símbolos com o seguinte comando:
No post você pode encontrar um guia passo a passo sobre como localizar o endereço do free hook sem símbolos. Em resumo, na função free:
Na quebra mencionada no código anterior em $eax
estará localizado o endereço do free hook.
Agora é realizado um ataque de fast bin:
Primeiramente é descoberto que é possível trabalhar com pedaços rápidos de tamanho 200 na localização do
__free_hook
:
$1 = (void (**)(void *, const void *)) 0x7ff1e9e607a8 <__free_hook> gef➤ x/60gx 0x7ff1e9e607a8 - 0x59
0x7ff1e9e6074f: 0x0000000000000000 0x0000000000000200
0x7ff1e9e6075f: 0x0000000000000000 0x0000000000000000 0x7ff1e9e6076f <list_all_lock+15>: 0x0000000000000000 0x0000000000000000 0x7ff1e9e6077f <_IO_stdfile_2_lock+15>: 0x0000000000000000 0x0000000000000000
Se conseguirmos obter um pedaço rápido de tamanho 0x200 nessa localização, será possível sobrescrever um ponteiro de função que será executado
Para isso, um novo pedaço de tamanho
0xfc
é criado e a função mesclada é chamada com esse ponteiro duas vezes, dessa forma obtemos um ponteiro para um pedaço liberado de tamanho0xfc*2 = 0x1f8
no fast bin.Em seguida, a função de edição é chamada neste pedaço para modificar o endereço
fd
deste fast bin para apontar para a função anterior__free_hook
.Então, um pedaço com tamanho
0x1f8
é criado para recuperar do fast bin o pedaço inútil anterior, então outro pedaço com tamanho0x1f8
é criado para obter um pedaço do fast bin no__free_hook
que é sobrescrito com o endereço da funçãosystem
.E finalmente um pedaço contendo a string
/bin/sh\x00
é liberado chamando a função de exclusão, acionando a função__free_hook
que aponta para o sistema com/bin/sh\x00
como parâmetro.
Referências
Last updated