House of Lore | Klein bin Aanval

Reading time: 3 minutes

Basiese Inligting

Kode

• Kontroleer die een van https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/house_of_lore/
• Dit werk nie
• Of: https://github.com/shellphish/how2heap/blob/master/glibc_2.39/house_of_lore.c
• Dit werk nie, selfs al probeer dit om sommige kontroles te omseil en kry die fout: malloc(): unaligned tcache chunk detected
• Hierdie voorbeeld werk steeds: https://guyinatuxedo.github.io/40-house_of_lore/house_lore_exp/index.html

Doel

• Voeg 'n valse klein stuk in die klein bin in sodat dit moontlik is om dit toe te ken.
  Let daarop dat die klein stuk wat bygevoeg word die valse een is wat die aanvaller skep en nie 'n valse een in 'n arbitrêre posisie nie.

Vereistes

• Skep 2 valse stukke en koppel hulle aan mekaar en met die wettige stuk in die klein bin:
• fake0.bk -> fake1
• fake1.fd -> fake0
• fake0.fd -> legit (jy moet 'n pointer in die vrygestelde klein bin stuk via 'n ander kwesbaarheid verander)
• legit.bk -> fake0

Dan sal jy in staat wees om fake0 toe te ken.

Aanval

• 'n Klein stuk (legit) word toegeken, dan word nog een toegeken om te voorkom dat dit saamgevoeg word met die boonste stuk. Dan word legit vrygestel (wat dit na die onsorteerde bin lys beweeg) en 'n groter stuk word toegeken, wat legit na die klein bin beweeg.
• 'n Aanvaller genereer 'n paar valse klein stukke, en maak die nodige koppelings om die gesondheidskontroles te omseil:
• fake0.bk -> fake1
• fake1.fd -> fake0
• fake0.fd -> legit (jy moet 'n pointer in die vrygestelde klein bin stuk via 'n ander kwesbaarheid verander)
• legit.bk -> fake0
• 'n Klein stuk word toegeken om legit te kry, wat fake0 in die boonste lys van klein bins maak
• Nog 'n klein stuk word toegeken, wat fake0 as 'n stuk kry, wat potensieel toelaat om pointers binne-in dit te lees/schryf.

Verwysings

• https://ctf-wiki.mahaloz.re/pwn/linux/glibc-heap/house_of_lore/
• https://heap-exploitation.dhavalkapil.com/attacks/house_of_lore
• https://guyinatuxedo.github.io/40-house_of_lore/house_lore_exp/index.html