how2heap

HWO 2 HEAP

glibc_2.27

fastbin_dup

fastbin_dup讲的是简单的double fastbin attack

int *a = malloc(8);
int *b = malloc(8);
int *c = malloc(8);

free(a)
free(b)
free(a)

之后申请3次同样大小的chunk，第三次所得即可以得到另外一个指向a的chunk

根据上述，我们在第三次申请出来的时候就可以得到指向main_arena+88的地址达到泄露libc的效果

fastbin_reverse_into_tcache

这个方法的作用就是在知道栈地址的情况下利用fastbin攻击去把chunk申请到栈上，利用条件比较有限，缓冲区溢出或者UAF。

先new7个unsortedbin大小的chunk我这里选择0x100，然再在new2个0x100

new一个0x10或者0x20的chunk隔开top_chunk,free掉0-6号填充tc，

然后free(8),free(9),malloc(0x100)[申请0x100的是把tc头申请出来],free(8)[这里是让8号成为tc头，得到有效指针]，然后去new一个大小0x120的，把里面的fd指针改为fake_chunk_addr，接着new2个0x100的，第二个new得到的0x100的chunk就是fake_chunk了

house_of_botcake(unsortedbin double free)

=-=，填充unsortedbin tcache，free 受害 chunk，free辅助chunk

此时unsortedbin合并成了0x220大小的chunk，我们再去new一个0x100大小的chunk，把tcache头弄出来，再去free受害chunk，让他成为tcache头，然后申请一个0x120大小的chunk清理下unsortedbin让他的大小小于0x110，

之后就再去对受害chunk的fd指针写入栈地址，接着申请的第二次的堆就是在栈上申请的了。

（不一定是栈，换成别的地址同样成立）

house_of_einherjar(largebin attack)

这个house主要是利用off by null漏洞配合largebin进行任意地址申请。

下面就简单说下怎么利用，最重要的一点就是你要知道你想任意申请的地址的real addr，fake chunk的构造如下

size_t fake_chunk[6];

	fake_chunk[0] = 0x100; // prev_size is now used and must equal fake_chunk's size to pass P->bk->size == P->prev_size
	fake_chunk[1] = 0x100; // size of the chunk just needs to be small enough to stay in the small bin
	fake_chunk[2] = (size_t) fake_chunk; // fwd
	fake_chunk[3] = (size_t) fake_chunk; // bck
	fake_chunk[4] = (size_t) fake_chunk; //fwd_nextsize
	fake_chunk[5] = (size_t) fake_chunk; //bck_nextsize

这里选取的是栈上进行排布的，那么我们常态都在堆上排布。

可以如下布局

malloc(0x100) #chunk0
edit(0,p64(0x100)+p64(0x100)+p64(fake_chunk)*4)
malloc(0x38)#chunk1
malloc(0x4f8)#chunk2
#由于存在off by null 漏洞我们假设在edit的时候存在这个漏洞
edit(1,'a'*0x30+p64(prev_size))
#这里的prev_size的公式如下
#prev_size_addr-fake_chunk_addr=prev_size
edit(0,p64(0x100)+p64(prev_size)+p64(fake_chunk)*4)
free(2)
malloc(0x200)#这个堆此时就会申请到我们想要的地址+0x10上了
#至于你malloc多少是你自己的事情，就要看你之前chunk0布局的是多大了，只要申请的大小大于之前布局的大小都可以，在这里0x100也是可以的。

关于#prev_size_addr-fake_chunk_addr=prev_size的chunk1的gdb布局如下

pwndbg> x/32gx 0x555555757250
0x555555757250:	0x0000000000000000	0x0000000000000041
0x555555757260:	0x0000000000000000	0x0000000000000000
0x555555757270:	0x0000000000000000	0x0000000000000000
0x555555757280:	0x0000000000000000	0x0000000000000000
0x555555757290:	0xffffd55555759360	0x0000000000000500

总结下来说，条件要的还是比较多，最重要的还是地址的获取，堆题的基本要素就是地址泄露。

最后讲下可能让人懵逼的点，也许有人会觉得很神奇，其实不然。

在上面的排布中我们是这样排布的

chunk0

chunk1

chunk2

我们把2的prev_size改成了包揽chunk0和chunk1在内的大小，同时把chunk0里面包含的fake chunk大小改为了包揽chunk0和chunk1在内的大小，那么当我们利用off by null去free chunk2造成的堆重叠，我们再去申请一个chunk大小和chunk0相同的，本来正常来说我们不去改动他的fd，bk以及fd_size,bk_size就会正常申请回chunk0但是我们做了手脚，让chunk0此时指向了fake chunk，那么我们去申请的时候就会往fake chunk的地址上去申请了就是这个道理。

house of force

方法如其名，暴力的不行，要是条件允许的情况下，比如堆溢出，或者可以泄露出top chunk的addr利用别办法申请到top chunk，把top chunk大小改成-1

这样就可以随便malloc了，也是属于一种任意地址申请。