看雪.WiFi萬能鑰匙 CTF 2017第四題 點評及解題思路

作者設計了一個存在 double free 和 uaf 漏洞的程式，攻擊者需要利用 fastbin 的 malloc_consolidate 函式來造成 unlink，最後再佈置棧構造 ropchain 即可完成攻擊。作為一道漏洞挖掘和利用的題目，引起了大家廣泛關注，成功破解該題人數達14人，並且漏洞利用各有千秋，甚至有人透過作者疏忽利用棧溢位破解了此題，攻防雙方表現都非常精彩！

這題也是一般堆溢位的流程，主要有下面幾個操作：

1. 建立

這一段程式碼比較多，但可以看到問題還是存在的，size和cun都是可以透過輸入負數，接著透過強型別轉換`unsigned int`來轉換成很大的整數來整形溢位。

2. 刪除

可以看到這裡也是存在問題的，刪除之前沒有判斷塊是否被刪除了，所以應該可以構造`double-free`

3. 編輯

這裡就是正常的編輯，不過驗證了塊是否存在。

二、DOUBLE-FREE

一年前做過一道`double-free`之後就再也沒碰過了，這裡正好把相關知識點再溫習一下。

堆結構如下，其中0,1,2,3表示一個單位長度。

正常`unlink`的函式主要程式碼如下：

如果能覆蓋一個塊的頭部來達到控制其`bk`和`fd`的話，就能夠成功修改任意地址的值了，但由於存在判斷`FD->bk != P || BK->fd != P`，所以沒法隨便修改，這時就需要利用`double-free`了。

首先判斷是需要透過的，所以可以有下面兩個等

FD->bk = P   <=> FD+3 = P
BK->fd = P   <=> BK+2 =

接著就是構造一個堆頭滿足這兩個等式了

pre_size     0
size         chunk_size + 1 //這兩個條件表示堆仍在使用中
fd           p_addr - 3
bk           p_addr - 2

那麼就能得到繞過判斷後能實現的效果

FD->bk = BK => P = BK = P - 2
BK->fd = FD => P = FD = P - 3

所以最後實現的效果是`P=P-3`。

接著就是實現`double-free`的流程了，稍微盜一下圖...

1. 新建兩個 chunk 分別為 chunk0 和 chunk1

2. free 掉這兩個塊，第一塊作為稍後 unlink 的塊，另一塊作為 free 的塊

3. 新建一個塊，這個塊要能覆蓋到 chunk1 的頭部，從而偽造兩個 chunk 的頭，chunk0 的頭部之前已經說過了，而 chunk1 需要欺騙作業系統 chunk0 是已經被free 了的，所以其頭部應該如下

pre_size     chunk0_size
size         chunk1_size

然後整體實現如下：

4. 那麼新建這個塊就相當於是兩個塊了，然後我們 free chunk1，就能實現 unlink chunk0 從而使得 chunk0 的地址存放的值變成了 P-0x18

5. 接下來修改 chunk0 的值，修改的值為 0x18 個 padding，然後就能修改 chunk0 的地址的值了，這時修改成 free 的 GOT 表地址

6. 接下來再修改一次chunk0， 這次的值修改成 system 那麼就會使得 free 的 GOT 表指向 system，接下來 free 的時候傳入 /bin/sh 就能獲取 shell 了

三、 EXP

在除錯 EXP 過程中出現了這樣倆個問題，需要注意一下。

第一個是這裡的 P 指的是指向堆地址的指標，也就是`0x6020e0`，不要誤以為是堆的地址哦。

第二個在這裡我是把`/bin/sh`寫在第0個堆，而用2，3來進行`double-free`，主要原因是由於在除錯的過程中發現把`/bin/sh`寫後面會被系統發現`double-free`。

具體EXP：

上海連尚網路科技有限公司成立於 2013 年，是一家專注於提供免費上網和內容服務的移動網際網路企業。連尚網路自主研發的核心產品 WiFi 萬能鑰匙，以分享經濟的模式，透過雲端計算和大資料技術，利用熱點主人分享的閒置WiFi資源，為使用者提供免費、穩定、安全的上網服務，以幫助更多的人上網，找到屬於他們的機會，改變自己的命運。