0x10 uaf
题目描述
Mommy, what is Use After Free bug?
ssh uaf@pwnable.kr -p2222 (pw:guest)
题目代码
#include <fcntl.h>
#include <iostream>
#include <cstring>
#include <cstdlib>
#include <unistd.h>
using namespace std;
class Human{
private:
virtual void give_shell(){
system("/bin/sh");
}
protected:
int age;
string name;
public:
virtual void introduce(){
cout << "My name is " << name << endl;
cout << "I am " << age << " years old" << endl;
}
};
class Man: public Human{
public:
Man(string name, int age){
this->name = name;
this->age = age;
}
virtual void introduce(){
Human::introduce();
cout << "I am a nice guy!" << endl;
}
};
class Woman: public Human{
public:
Woman(string name, int age){
this->name = name;
this->age = age;
}
virtual void introduce(){
Human::introduce();
cout << "I am a cute girl!" << endl;
}
};
int main(int argc, char* argv[]){
Human* m = new Man("Jack", 25);
Human* w = new Woman("Jill", 21);
size_t len;
char* data;
unsigned int op;
while(1){
cout << "1. use\n2. after\n3. free\n";
cin >> op;
switch(op){
case 1:
m->introduce();
w->introduce();
break;
case 2:
len = atoi(argv[1]);
data = new char[len];
read(open(argv[2], O_RDONLY), data, len);
cout << "your data is allocated" << endl;
break;
case 3:
delete m;
delete w;
break;
default:
break;
}
}
return 0;
}
题目分析
这道题考察的是uaf，即use after free。这个漏洞就是在分配堆后，使用结束后free掉的时候没有指向null，并放回空闲链表。当重新申请一块小于64字节大小的空间时，cpu会直接从空闲链表中划分空间，使得这次用到的地址跟刚才free掉的地址一模一样，那么我们就可以访问原来的内存空间。这道题有c++的虚表继承，做题之前需要了解虚表继承。
虚表继承
当类中存在虚函数时，会创建一个虚表vtable，同时会有一个虚指针指向对应的地址。当子类继承父类时，如果有虚函数，那么子类的vtable会有父类所有项，并且当子类存在同名虚函数时，会修改vtable表项，指向自己的函数的地址。如果父类有私有函数，但是这个私有函数是虚函数，那么子类的vtable中同样会有这个函数的表项。每个虚表只有一个vptr，就算有多个虚函数也一样。但是当多重继承的时候，就会有多个vptr。
题目分析（续）
这里我们可以先执行第三步，释放空间，然后执行第二步的时候将精心构造的数据写入data中，那么当用第一步的时候就会使用我们精心构造的数据了。当我们使用use的时候，会调用m->introduce()，进而调用Human::introduce()，这是一个虚函数，会从虚表中找到introduce()函数的地址，然后进行寻址，那么我们可以将introduce()的地址改成giveshell()的地址，这样当我们使用use的时候，就可以给getshell了。那么如何修改呢？首先，在Human类中，giveshell()函数在introduce()函数的上面，那么在虚表中，introduce在giveshell的后面，相差8字节(64位)。因为在虚表中，最开始的部位是虚表的指针，也就是虚标的地址，虚表的第一项是giveshell，第二项是introduce，当想要调用introduce的时候，指针就要通过一个+8的操作。那么我们如果实现将指针减8，那么当调用introduce的时候加8，那么结果就是+0，即没有偏移，那就是giveshell的地址，刚好完成了我们的要求。ida中.rodata区段是存放虚表的地方，这里直接找到giveshell的地址就是虚表的地址即0x401570
这样0x401570减8得0x401568就是我们要填充的东西。
那么还有一个问题，我们需要填充多少字节？通过学习，我知道当类中有虚函数的时候，会产生虚函数指针，有多少个虚函数，也只有一个虚函数指针，并且该指针占4个字节，int age占4字节，string name占16字节，加起来24个字节。那么我们要读取的就是24字节。
解题步骤
最后payload写法如下：
python -c 'print "\x68\x15\x40\x00\x00\x00\x00\x00" ' > /tmp/uaf
./uaf 24 /tmp/uaf
3 2 2 1
