🤾 🍆 👉🏿 Frida explore l'exploitation des algorithmes Heap 💤 👩🏾‍🤝‍👨🏼 👨🏽‍🌾

L'expert OTUS Alexander Kolesnikov a partagé avec nous un article utile, qu'il a écrit spécifiquement pour les étudiants du cours de Reverse-Engineering. De base

Nous vous invitons à regarder la journée de démonstration du cours , au cours de laquelle nos professeurs ont parlé en détail du programme du cours et répondu aux questions.

L'ingénierie inverse pour obtenir un algorithme est toujours tentante, mais l'ingénierie inverse pour créer quelque chose de nouveau est encore plus cool. Dans cet article, nous allons essayer d'utiliser l'outil Frida pour faciliter un peu le processus d'analyse d'une application vulnérable et pour créer un exploit pour cette application un peu plus facile.

Tous les exemples de l'article traiteront des attaques en tas dans le système d'exploitation Linux, nous nous réservons donc avec patience et pop-corn.

Tas

Heap — , . , malloc

. , . , .

. . , libc, . :

heap grooming attack
fastbin attack
tcache attack
unlink
largebin
unsortedbin attack

, . . — , . , — libc. — .

Frida

frida 2 : frida-trace MemoryMonitor. , . , , CTF.

Heap Grooming

, libc 2.23. , , , , . , . 7. :

#include <stdio.h>
#include <stdlib.h>
int main(void)
{
  unsigned long int *mem0, *mem1, *mem2;
  
  mem0 = malloc(0x10); 
  mem1 = malloc(0x10); 
  mem2 = malloc(0x10); 
  
  printf("Allocated memory on:\nptr0: %p\nptr1: %p\nptr2: %p\n\n", mem0, mem1, mem2);
  
  free(mem0);
  free(mem1);
  free(mem2);
  
  printf("mem0 after free and alloc again: %p\n", malloc(0x10));
  printf("mem1 after free and alloc again: %p\n", malloc(0x10));
  printf("mem2 after free and alloc again: %p\n\n", malloc(0x10));
}

. :

, , , printf

? printf

frida-trace

. :

Frida-trace -f test -i “malloc”

handler

. “handlers” frida-trace. malloc.js OnLeave

, :

. pico CTF “Are you root”. frida-trace:

, , . , login;

Auth level

. ? malloc 0x10 0x7. , , 0x10, 2 - 0x1514eb0 0x1514ed0. .

TCACHE

, , tcache

, . , tcache

, tcache

:

#include <stdio.h>
#include <stdlib.h>
int main(void)
{
    unsigned long int *mem0, *mem1;
	  int target;
    
	  mem0 = malloc(0x10);
    mem1 = malloc(0x10);
    target = 0xdead;
    
    printf("mem0: %p\n", mem0);
	  printf("mem1: %p\n", mem1);
	  printf("int:  %p\n\n", &target);
    
    free(mem0);
    free(mem1);
    
 		printf("Next pointer for mem1: %p\n\n", (unsigned long int *)mem1);
 
    *mem1 = (unsigned long int)&target;
 		printf("Next pointer for mem1: %p\n\n", (unsigned long int )mem1);
     
    printf("Malloc Allocated: %p\n\n", malloc(0x10));
	  printf("Malloc Allocated: %p\n\n", malloc(0x10));
}