Tcache Bin Attack

AWS हैकिंग सीखें और अभ्यास करें:HackTricks प्रशिक्षण AWS रेड टीम विशेषज्ञ (ARTE) GCP हैकिंग सीखें और अभ्यास करें: HackTricks प्रशिक्षण GCP रेड टीम विशेषज्ञ (GRTE)

हैकट्रिक्स का समर्थन करें

• सदस्यता योजनाएं की जाँच करें!

• शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या हमें ट्विटर 🐦 @hacktricks_live** पर फॉलो** करें।

• हैकिंग ट्रिक्स साझा करें द्वारा पीआर जमा करके HackTricks और HackTricks Cloud github रेपो में।

मौलिक जानकारी

Tcache bin क्या है इसके बारे में अधिक जानकारी के लिए इस पृष्ठ की जाँच करें:

Bins & Memory Allocations

सबसे पहले, ध्यान दें कि Tcache को Glibc संस्करण 2.26 में पेश किया गया था।

Tcache हमला (जिसे Tcache poisoning भी कहा जाता है) जो guyinatuxido पेज में प्रस्तावित किया गया है, यह तेज बिन हमले के बहुत ही समान है जहां लक्ष्य है कि एक मुक्त चंक में बिन के अंदर अगले चंक के पॉइंटर को एक ऐसे पते पर ओवरराइट करें जो बाद में उस विशेष पते को आवंटित किया जा सकता है और संभावित रूप से पॉइंटर्स को ओवरराइट करें।

हालांकि, आजकल, यदि आप उल्लिखित कोड को चलाते हैं तो आपको त्रुटि मिलेगी: malloc(): unaligned tcache chunk detected। इसलिए, आवश्यक है कि नए पॉइंटर में एक संरेखित पता लिखना है (या बायनरी को पर्याप्त बार चलाना है ताकि लिखा गया पता वास्तव में संरेखित हो)।

Tcache इंडेक्स हमला

सामान्यत: हीप के शुरुआत में एक चंक मिलना संभव होता है जिसमें टीकैश बिन में प्रति इंडेक्स चंक की मात्रा और प्रत्येक टीकैश इंडेक्स के हेड चंक का पता होता है। यदि किसी कारणवश इस जानकारी को संशोधित किया जा सकता है, तो यह संभव होगा कि किसी इंडेक्स के हेड चंक को एक इच्छित पते पर पहुंचाया जा सके (जैसे __malloc_hook) ताकि फिर उस इंडेक्स के आकार का चंक आवंटित किया जा सके और इस मामले में __malloc_hook की सामग्री को ओवरराइट किया जा सके।

उदाहरण

• CTF https://guyinatuxedo.github.io/29-tcache/dcquals19_babyheap/index.html

• Libc जानकारी लीक: टीकैश को भरना संभव है, असंगठित सूची में एक चंक जोड़ना, टीकैश को खाली करना और असंगठित बिन से चंक को पुनः आवंटित करना केवल पहले 8B को ओवरराइट करते हुए, चंक से दूसरा पता लिब्सी से पढ़ने के लिए अवशिष्ट रखना।

• Tcache हमला: बाइनरी में एक 1B हीप ओवरफ्लो है। इसे बड़ा करने के लिए एक आवंटित चंक के आकार हेडर को बड़ा करने का दुरुपयोग किया जाएगा। फिर, यह चंक मुक्त किया जाएगा, इसे नकली आकार के टीकैश चंकों के टीकैश में जोड़ा जाएगा। फिर, हम एक चंक आवंटित करेंगे जिसमें नकली आकार होगा, और पिछला चंक वापस जानते हुए कि यह चंक वास्तव में छोटा था और यह अवसर प्रदान करेगा कि मेमोरी में अगले चंक को ओवरराइट किया जा सके। हम इसका दुरुपयोग करेंगे ताकि अगले चंक का FD पॉइंटर ओवरराइट करने के लिए malloc_hook को पॉइंट करें, ताकि फिर दो पॉइंटर्स को आवंटित किया जा सके: पहला वास्तविक पॉइंटर जिसे हमने अभी किया है, और फिर दूसरा आवंटन malloc_hook में एक चंक लौटाएगा जिसे हम एक वन गैजेट लिखने के लिए दुरुपयोग कर सकते हैं।

• CTF https://guyinatuxedo.github.io/29-tcache/plaid19_cpp/index.html

• Libc जानकारी लीक: यहां एक यूज बाद में फ्री और डबल फ्री है। इस राइटअप में लेखक ने एक चंक के पते को एक छोटे बिन में रखे गए एक चंक के पते को पढ़कर लिब्सी का पता लीक किया।

• Tcache हमला: एक Tcache के माध्यम से डबल फ्री किया जाता है। एक ही चंक दो बार मुक्त किया जाता है, इसलिए टीकैश में चंक खुद को पॉइंट करेगा। फिर, इसे आवंटित किया जाएगा, इसका FD पॉइंटर फ्री हुक को पॉइंट करने के लिए संशोधित किया जाएगा और फिर यह फिर से आवंटित किया जाएगा ताकि सूची में अगला चंक फ्री हुक में हो। फिर, यह भी आवंटित किया जाएगा और system का पता यहां लिखने के लिए संभव होगा ताकि जब "/bin/sh" शामिल malloc किया जाए, तो हमें एक शैल मिले।

• CTF https://guyinatuxedo.github.io/44-more_tcache/csaw19_popping_caps0/index.html

• यहां मुख्य दोष है कि हीप में किसी भी पते को फ्री करने की क्षमता है जिसका संकेत दिया जाता है

• Tcache इंडेक्स हमला: एक ऐसे आकार का चंक आवंटित और मुक्त किया जा सकता है जिसे टीकैश चंक में संग्रहीत किया जाएगा (टीकैश बिनों की जानकारी वाला चंक) जिससे एक मान 0x100 के मान वाला पता उत्पन्न होगा। यह इसलिए है क्योंकि टीकैश अलग-अलग बाइट्स में हर बिन में चंकों की मात्रा संग्रहित करता है, इसलिए एक विशिष्ट इंडेक्स में एक चंक एक विशिष्ट इंडेक्स में मान 0x100 उत्पन्न करता है।

• फिर, यह मान ऐसा दिखता है कि 0x100 के आकार का एक चंक है। इस पते को फ्री करने की अनुमति देगा। यह तब टीकैश में आकार 0x100 के चंकों के इंडेक्स में उस पते को जोड़ देगा।

• फिर, आकार 0x100 का एक चंक आवंटित करना, पिछला पता एक चंक के रूप में लौटाया जाएगा, जिससे अन्य

• हमारे साथ जुड़ें 💬 Discord समूह या टेलीग्राम समूह में या हमें Twitter 🐦 @hacktricks_live** पर फॉलो करें।**

• हैकिंग ट्रिक्स साझा करें, PR जमा करके HackTricks और HackTricks Cloud github रेपो में।