Przepełnienie o jeden

Nauka hakowania AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
Zdobądź oficjalne gadżety PEASS & HackTricks
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
Podziel się swoimi sztuczkami hakowania, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na GitHubie.

Podstawowe informacje

Mając dostęp tylko do przepełnienia o 1B, atakujący może zmodyfikować bit pre_in_use z następnego fragmentu, a ponieważ bieżący fragment nie jest w użyciu, koniec fragmentu staje się informacją o rozmiarze poprzedniego fragmentu.
To pozwala manipulować, które fragmenty są faktycznie zwalniane, potencjalnie generując fragment zawierający inny prawidłowy fragment.

Istnieją 2 rodzaje podatności na przepełnienie o jeden:

Dowolny bajt: Ten rodzaj pozwala nadpisać ten bajt dowolną wartością
Null off by one: Ten rodzaj pozwala nadpisać ten bajt tylko wartością 0x00
Powszechnym przykładem tej podatności może być kod, w którym zachowanie funkcji strlen i strcpy jest niekonsekwentne, co pozwala na ustawienie bajtu 0x00 na początku następnego fragmentu.

Null off by one

```c // From https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/off_by_one/ int main(void) { char buffer[40]=""; void *chunk1; chunk1 = malloc(24); puts("Get Input"); gets(buffer); if(strlen(buffer)==24) { strcpy(chunk1,buffer); } return 0; } ```

Wśród innych sprawdzeń, teraz za każdym razem, gdy kawałek jest zwalniany, poprzedni rozmiar jest porównywany z rozmiarem skonfigurowanym w metadanych kawałka, co sprawia, że ten atak jest dość skomplikowany od wersji 2.28.

Przykład kodu:

https://github.com/DhavalKapil/heap-exploitation/blob/d778318b6a14edad18b20421f5a06fa1a6e6920e/assets/files/shrinking_free_chunks.c
Ten atak już nie działa ze względu na użycie Tcaches.
Ponadto, jeśli spróbujesz go wykorzystać, używając większych kawałków (aby tcaches nie były zaangażowane), otrzymasz błąd: malloc(): invalid next size (unsorted)

Cel

Umieścić kawałek wewnątrz innego kawałka, dzięki czemu dostęp do zapisu na ten drugi kawałek pozwala nadpisać zawarty w nim kawałek

Wymagania

Przepełnienie o jeden, aby zmodyfikować informacje metadanych poprzedniego rozmiaru

Atak

Rezerwowane są 3 kawałki pamięci (a, b, c) jeden po drugim. Następnie środkowy jest zwalniany. Pierwszy zawiera podatność na przepełnienie o jeden bajt i atakujący ją wykorzystuje z użyciem 0x00 (jeśli poprzedni bajt był 0x10, sprawiłoby to, że środkowy kawałek wskazywałby, że jest o 0x10 mniejszy niż naprawdę).
Następnie, w środkowym zwolnionym kawałku (b) alokowane są 2 mniejsze kawałki, jednakże, ponieważ b + b->size nigdy nie aktualizuje kawałka c, ponieważ wskazany adres jest mniejszy niż powinien.
Następnie, b1 i c są zwalniane. Ponieważ c - c->prev_size nadal wskazuje na b (teraz b1), oba są konsolidowane w jeden kawałek. Jednakże, b2 nadal znajduje się w środku między b1 i c.
W końcu wykonywane jest nowe malloc odzyskujące ten obszar pamięci, który faktycznie będzie zawierał b2, pozwalając właścicielowi nowego malloc kontrolować zawartość b2.

To zdjęcie doskonale wyjaśnia atak:

https://heap-exploitation.dhavalkapil.com/attacks/shrinking_free_chunks

Inne Przykłady i Odnośniki

https://heap-exploitation.dhavalkapil.com/attacks/shrinking_free_chunks
Asis CTF 2016 b00ks
Możliwe jest wykorzystanie przepełnienia o jeden do wycieku adresu z heap, ponieważ bajt 0x00 na końcu łańcucha zostaje nadpisany przez następne pole.
Zapis dowolny jest uzyskiwany poprzez wykorzystanie przepełnienia o jeden, aby sprawić, że wskaźnik wskazuje na inne miejsce, gdzie zostanie zbudowana fałszywa struktura z fałszywymi wskaźnikami. Następnie możliwe jest śledzenie wskaźnika tej struktury, aby uzyskać zapis dowolny.
Adres libc jest wyciekany, ponieważ jeśli heap jest rozszerzany za pomocą mmap, pamięć przydzielona przez mmap ma stały przesunięcie od libc.
W końcu zapis dowolny jest wykorzystywany do zapisania adresu __free_hook za pomocą one gadgeta.
plaidctf 2015 plaiddb
Istnieje podatność NULL off by one w funkcji getline, która czyta linie wejściowe użytkownika. Ta funkcja służy do odczytywania "klucza" zawartości, a nie samej zawartości.
W opisie 5 początkowych kawałków jest tworzonych:
kawałek1 (0x200)
kawałek2 (0x50)
kawałek5 (0x68)
kawałek3 (0x1f8)
kawałek4 (0xf0)
obrona kawałka (0x400) aby uniknąć konsolidacji z kawałkiem górnym
Następnie kawałki 1, 5 i 3 są zwalniane, więc:

[ 0x200 Kawałek 1 (zwolniony) ] [ 0x50 Kawałek 2 ] [ 0x68 Kawałek 5 (zwolniony) ] [ 0x1f8 Kawałek 3 (zwolniony) ] [ 0xf0 Kawałek 4 ] [ 0x400 Kawałek obrony ]

* Następnie nadużywając kawałka3 (0x1f8) wykorzystywane jest null off-by-one, zapisując prev\_size na `0x4e0`.
* Zauważ, jak rozmiary początkowo przydzielonych kawałków1, 2, 5 i 3 plus nagłówki 4 tych kawałków równają się `0x4e0`:  `hex(0x1f8 + 0x10 + 0x68 + 0x10 + 0x50 + 0x10 + 0x200) = 0x4e0`
* Następnie, kawałek 4 jest zwalniany, generując kawałek, który zużywa wszystkie kawałki aż do początku:
* ```python
[ 0x4e0 Kawałek 1-2-5-3 (zwolniony) ] [ 0xf0 Kawałek 4 (zepsuty) ] [ 0x400 Kawałek obrony ]