HOF 的攻擊類型

The house of X
X 包括：

• Prime
• Mind
• Force
• Lore
• Spirit
• Chaos
• Orange

HOF 的攻擊類型

The house of X
X 包括：

• Prime
• Mind
• Force
• Lore
• Spirit
• Chaos
• Orange

HOF 的攻擊類型

The house of X
X 包括：

• Prime
• Mind
• Force
• Lore
• Spirit
• Chaos
• Orange

程式儲存的地方

Source: Linux binary Exploitation - Basic knowledge

記憶體分佈

通常要倒過來看，高記憶體位址在下面

Source: memory-layout-of-c-program

舉個例子

Overflow 包括總類

1. Buffer Overflow
   • Stack Overflow
   • Heap Overflow
2. Integer Overflow
3. Format String Vulnerability
   …
   Source: Overflows

舉個例子 => Buffer Overflow

Source: Buffer Overflow Attack

glibc

malloc()/free()

heap 分佈

漏洞成因

• glibc < 2.29，top chunk size 沒有檢查

攻擊原理

• top chunk size 填入系統上限 => 0xffffffffffffffff 就可以繞過

Source: Linux Heap Exploitation - Part 1

例子 1 - 任意寫資料

• 目標：修改 Target 的值
  

1. 先用 malloc(24, b"A"*24)

• 可以看到 top chunk 是 0x20fe1
  

2. 用 0xffffffffffffffff 蓋 top chunk

• 可以看到 top chunk 是 0xffffffffffffffff
  

3. 計算 Target 距離

• distance = delta(heap+0x20, elf.sym.target-0x20)
• malloc(distance, b"")
• 下一個 malloc 就可以覆蓋資料
  

4. malloc

• malloc(8, b"Hello, gg!")

5. Result

• 成功修改成 Hello, gg!
  

./Demo1.py

例子 2 - 拿 shell

• 目標：執行任意程式
  

補充

1. __malloc_hook: 自定義 malloc()
2. system(): 當前程式執行外部命令

1. 利用 top_chunk 漏洞

• 使用 0xffffffffffffffff

2. 計算到 __malloc_hook 的位址

• 塞我們要用的指令到這邊 /bin/sh
• 使用 0xdeadbeef
  

3. 用 system() 覆蓋 __malloc_hook

• 使用 libc.sym.system 取得 system() 位址
  

4. 呼叫 malloc() 觸發 system()

• 呼叫 system()
• 0x30 是放 /bin/sh 的地方
  

5. Result: get shell!

• 把它關機
  

./Demo2.py