anonymous?

GLIBC란? GNU system과 GNU/Linux 시스템의 핵심 라이브러리를 제공하는 GNU C 라이브러리 ptmalloc2 구조 (GLIBC 2.29) - Double Free 검증 tcache_entry 구조체 // GLIBC 2.29 typedef struct tcache_entry { struct tcache_entry *next; /* This field exists to detect double frees. */ struct tcache_perthread_struct *key; } tcache_entry; GLIBC 2.26과 다르게, GLIBC 2.29에서는 tcache_put, tcache_get 함수에 Double Free 취약점을 검증하는 코드가 추가되었다. GLIBC 2.26에서는..

SYSTEM HACKING/Exploit Tech 2024. 3. 2. 14:25

_IO_FILE : 리눅스 시스템의 표준 라이브러리에서 파일 스트림을 나타내기 위한 구조체 프로그램이 fopen과 같은 함수 통해 파일 스트림을 열 때 힙에 할당된다. 예제1 //gcc -o file1 file1.c #include #include #include int main(){ FILE *fp; char buf[0x100] = {0,}; strcpy(buf, "THIS IS TESTFILE!"); fp = fopen("testfile", "w"); fwrite(buf, 1, strlen(buf), fp); fclose(fp); return 0; } buf에 strcpy 함수를 사용해서 문자열을 복사한 후, testfile이라는 파일에 buf 길이만큼 문자열을 쓴다. fwrite 후 없었던 힙이 생..

SYSTEM HACKING/Exploit Tech 2021. 1. 1. 19:57

tcache에서 라이브러리 영역 주소 릭하는 방법 1. 7개의 tcache_entry 모두 채워서 tcache를 사용하지 않도록 한 후 unsorted bin을 만든다. 2. tcache에서 허용하지 않는 크기 할당 후 해제해 unsorted bin을 만든다. -tcache에 들어가는 청크 크기: 0x10 ~ 0x408 -0x420 이상 할당 후 해제 시 unosorted bin에 들어간다. 3. _IO_FILE_Arbitrary Read + tcache dup 사용한다. 1, 2 방법은 기존의 2.23에서 unsorted bin을 다루는 과정과 동일하다. (2.26 이상 버전에서는 청크 크기만 0x420 이상 할당/해제해주면 된다.) 방법2: tcache에서 허용하지 않는 크기 할당 후 해제해 unso..

SYSTEM HACKING/Exploit Tech 2020. 6. 13. 16:41

static void * _int_malloc (mstate av, size_t bytes) { INTERNAL_SIZE_T nb; /* normalized request size */ ... mchunkptr remainder; /* remainder from a split */ unsigned long remainder_size; /* its size */ ... use_top: victim = av->top; size = chunksize (victim); if ((unsigned long) (size) >= (unsigned long) (nb + MINSIZE)) { remainder_size = size - nb; remainder = chunk_at_offset (victim, nb); av-..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 23:04

해제된 청크 연결하는 이중 연결 리스트에서 청크 연결을 해제하는 매크로 unlink를 이용해서 임의 주소 쓰기를 하는 공격 기법이다. 주소를 알 수 있는 위치(ex. 전역 버퍼)에 unlink될 청크 주소가 저장되어 있는 경우 사용 가능하다. unlink 매크로: 인접한 2개 이상의 청크를 연속해서 해제할 때 인접한 청크를 병합하기 위해 사용된다. (smallbin, largebin 경우. fastbin에서는 인접해도 병합되지 않는다.) if(!prev_inuse(p)){ prevsize = p->prevsize; size += prevsize; p = chunk_at_offset(p, -((long)prevsize)); unlink(av, p, bck, fwd); } 현재 청크의 prev_inuse 비..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 18:38

NULL off by one 발생으로 취약점이 발생하는 것을 이용한 공격 기법이다. 한 바이트의 NULL을 추가로 입력해 인접한 청크 size의 하위 1바이트를 덮을 수 있을 때 다른 기법과 연계해서 공격하는 기법이다. NULL off by one: 한 바이트의 NULL을 추가로 입력하는 것. 예제1 //gcc -o null1 null1.c #include #include #include int readdata(char *buf, int len){ read(0, buf, len); *(char*)(buf + len) = '\x00'; } int main(){ char *buf1; char *buf2; buf1 = malloc(0x28); buf2 = malloc(0xf0); readdata(buf1, 0..

SYSTEM HACKING/Exploit Tech 2020. 6. 12. 15:38

unsorted bin: small chunk, large chunk 크기의 청크들이 재할당을 위해 사용되는 bin 공격 방법: 해제된 BK 포인터를 조작해서 원하는 영역에 main_arena 영역의 주소를 쓸 수 있는 공격 기법 fastbin 크기가 아닌 청크를 처음 해제하면, FD와 BK 포인터에 main_arena+88 주소가 적힌다. 같은 크기로 재할당 시 해당 포인터의 FD를 찾아서 해당 주소에 재할당해준다. 예제1 (1) 힙 2개 할당 - 힙 해제 시 top chunk와 합쳐지지 않게 하기 위해 힙 2개를 할당한다. (2) 힙 1개 해제 해제된 청크의 FD와 BK 포인터에 main_arena+88 주소가 적힌다. 이후 힙을 재할당하면 0x602000 영역의 힙 청크를 재할당해준다. 해당 포인터..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 16:05

free 함수의 인자를 조작해서 임의의 메모리를 해제할 수 있을 때 원하는 주소에 힙을 할당해 임의의 주소에 값을 쓸 수 있다. 새로 할당되는 힙은 힙 영역이 아닌 스택 영역에 할당되므로, House of spirit 기법을 사용하려면 스택 주소를 알고 해당 영역을 해제할 수 있어야 한다. 예제1 // gcc -o spirit1 spirit1.c -no-pie #include #include int main() { long long fake_chunk[10] = {0,}; fake_chunk[0] = 0; fake_chunk[1] = 0x31; fake_chunk[2] = 0x41414141; free(&fake_chunk[2]); char *fake_alloc = malloc(0x20); printf(..

SYSTEM HACKING/Exploit Tech 2020. 6. 11. 14:23

1. Double Free 검증 우회 - old와 p 포인터에 대한 청크 주소를 다르게 주면 된다. - 2개의 힙 청크 할당 후 각각의 힙에 대한 포인터가 ptr1, ptr2라면, free(ptr1) free(ptr2) free(ptr1) 으로 old와 p 값이 같은지 체크하는 것을 우회해서 double free를 진행한다. Double Free 후 fd에 각각의 청크 주소가 적혀있다. ptr1 -> ptr2 -> ptr1 로 되어있고, 다음 청크 할당 시 ptr2가 할당된다. 이때 fd 값을 overwrite_me로 덮으면 ptr1 -> ptr2 -> ptr1 -> overwrite_me 로 바뀔 것이다. 2. 힙 재할당 - 1번째 청크 할당받는다. - 이때 데이터로 overwrite_me를 줘서 fd..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 18:38

Double Free ptmalloc2 할당자에서 fastbin dup에서는 이전에 해제된 청크인 old와 현재 해제될 청크인 p가 같은지 여부를 비교해서 동일한 힙 청크를 연속해서 해제할 경우 "double free or corruption (fasttop)"을 출력하고 비정상 종료한다. if (__builtin_expect (old == p, 0) { errstr = "double free or corruption (fasttop)"; goto errout; } ★ 취약점 원인: Double Free 미검증, size 비교 미검증 #if USE_TCACHE { size_t tc_idx = csize2tidx (size); if (tcache && tc_idx < mp_.tcache_bins && tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 16:56

1. Tcache(Thread local Caching) glibc 2.26 버전 이후 힙 메모리 관리 매커니즘 -> 주어진 라이브러리 버전을 보고 Tcache 여부 판단한다. 힙 메모리 관리 속도 향상 위해 추가 -> 이전 버전보다 공격이 쉽다. malloc() 함수로 동적 할당 요청이 들어오면 __libc_malloc 호출된다. __libc_malloc 함수: MAYBE_INIT_TCACHE 매크로 호출해 tcache_init 함수 호출한다. #define MAYBE_INIT_TCACHE() \ if (__glibc_unlikely (tcache == NULL)) \ tcache_init(); void * __libc_malloc (size_t bytes) { ... MAYBE_INIT_TCACHE ..

SYSTEM HACKING/Exploit Tech 2020. 6. 10. 14:51

SSP(Stack Smashing Protector) 보호기법은 스택 버퍼오버플로우를 방지하기 위해 개발된 기법이다. SSP는 스택 buffer와 SFP(Stack Frame Pointer) 사이에 랜덤 값인 canary를 넣어서 함수 종료 시점에서 __stack_chk_fail( 함수 호출을 통해 canary 변조 여부를 체크함으로써 스택이 망가졌는지 확인한다. SSP가 적용되어 있으면 함수에서 스택을 사용할 때 canary가 생성된다. Master canary는 main() 함수가 호출되기 전에 랜덤으로 생성된 canary를 thread마다 전역 변수로 사용되는 TLS(Thread Local Storage)에 저장하는데, 모든 thread가 하나의 canary 값을 사용하기 위해서이다. TLS는 tc..

SYSTEM HACKING/Exploit Tech 2020. 6. 8. 00:26