初探libc2.27下的tcache attack

0.libc2.27版本下的tcache机制

tcache是libc2.26版本后引入的新机制，其广泛应用于Ubuntu18.04及以后的系统。tcache的管理机制类似于fastbin，每个bins上最多可以有7个chunk。每个bins都是单链表，与fastbin同为LIFO。tcache的优先级大于fastbin。只有当tcache满了后 （这里的满指的是对应的bins上已有7个chunk，无法再放入后续chunk），chunk才会被放回其他链表，而在申请操作时，tcache也会被首先分配。

展开全文 >>

fastbin && unsortedbin attack的综合利用及通过修改堆指针实现got表改写

0.题目来源

写这篇博客的原因是因为BUU上的一道题，这题由于是从正式比赛中复现的，因此靶机的环境有些问题（flag的位置不一样）。
按照预期解，这题应该只是单纯普通简单的unsortedbin attack实现任意内存写改写大数，从而绕到后门函数。但是这题由于给的后门函数是执行 cat /home/pwn/flag 指令的，但是可以证实靶机的flag是位于根目录的，因此后门函数便无效了。

1.情景分析

展开全文 >>

unsortedbin attack

0.关于unsortedbin attack

unsortedbin attack的实现前提是存在UAF。
它是低版本libc堆漏洞中第二常用的攻击手法，同时也是最简单的攻击手法。
它最终能够实现在任意内存处写一个非常大的数。（一般是malloc_state->fd，libc-2.23中即为main_arena+88）
通常，利用这种攻击手法来修改次数限制、上限信息、伪造堆头、配合局部写等，也通常和fastbin attack配合使用。
但是在2.29以后的libc版本中增加了对这种攻击的检查机制，因此高版本无法使用这种攻击手法。

1.unsortedbin leak

展开全文 >>

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

你好，<br>我是Detective_LFY，<br>很高兴认识你。<br>