行业资讯
深入解析ptmalloc2堆溢出与Fastbin Attack攻击原理
1. 项目概述从一次内存崩溃说起最近在分析一个线上服务的崩溃core文件时又遇到了老朋友——堆溢出。日志里那行经典的malloc(): memory corruption (fast)错误信息瞬间把我拉回到了那些与内存管理器斗智斗勇的调试夜晚。堆溢出这个在C/C世界里经久不衰的安全与稳定性顽疾其背后的利用手法远比表面看起来的“写超了”要精巧得多。而这一切的舞台很大程度上是由底层的内存分配器搭建的。在Linux的Glibc中默认的分配器是ptmalloc2它那套基于“Chunk”的管理哲学既是高效内存分配的基石也成为了攻击者眼中充满可能性的“游乐场”。尤其是Fastbin Attack作为一种相对直接但威力巨大的利用技术它完美地诠释了如何将一块越界的写入转化为一次彻底的程序控制权夺取。今天我们就来彻底拆解ptmalloc2的Chunk结构并一步步还原Fastbin Attack的攻击链条这不仅是为了理解漏洞利用更是为了在编码和设计时能对内存这片“危险而美丽”的区域抱有足够的敬畏。2. ptmalloc2的Chunk结构一切故事的起点要理解堆溢出如何被利用你必须先了解ptmalloc2是如何管理堆内存的。它并不直接把你申请的内存块交给程序而是将其包装在一个叫做“Chunk”的结构里。这个Chunk是堆上所有操作的原子单位。2.1 Chunk的庐山真面目一个正在使用中的Chunkallocated chunk和空闲的Chunkfree chunk在内存中的布局是不同的但它们的头部都遵循相同的元数据格式。我们假设在32位系统下64位原理相同只是指针大小和对其有差异一个Chunk在内存中的起始部分是这样的chunk- -------------------------------- | Size of previous chunk, if unallocated (P) | -------------------------------- | Size of chunk, in bytes |A|M|P| mem- -------------------------------- | User data starts here... | . . . (malloc_usable_size() bytes) . . | nextchunk- -------------------------------- | Size of chunk | --------------------------------mem指针这是malloc返回给用户的指针指向用户数据区的开始。前一个Chunk大小prev_size只有在前一个相邻的Chunk处于空闲状态时这个字段才有效。它存储了前一个空闲Chunk的总大小。如果前一个Chunk正在被使用那么这个空间可以被当前Chunk的用户数据“借用”。这是ptmalloc为了减少内存碎片做的优化。当前Chunk大小size这是Chunk头部的核心。它存储了当前Chunk的总大小包括元数据和用户数据。大小总是8字节32位或16字节64位的整数倍因此大小的最低3个比特位32位或4个比特位64位被用作标志位P (PREV_INUSE): 最低位。为1表示前一个相邻的Chunk正在被使用为0表示前一个Chunk是空闲的此时prev_size字段才有效。M (IS_MMAPPED): 表示该Chunk是否是通过mmap直接分配的而非来自堆区。A (NON_MAIN_ARENA): 表示该Chunk是否不属于主分配区main arena。关键理解size字段编码了Chunk的大小和状态。malloc和free通过读取这个字段来决定如何操作。攻击者如果能够篡改这个字段就能欺骗内存分配器这是许多攻击的根源。2.2 空闲Chunk的额外结构当一个Chunk被free释放后它的用户数据区域会被分配器复用用来存储维护空闲链表所需的信息。在ptmalloc中不同大小的空闲Chunk被组织在不同的“bin”中。对于小的、快速分配的Chunk它们被链入“fastbin”。一个空闲的fastbin chunk在用户数据区的前8字节32位存储着一个关键信息fd指针forward pointer。freed chunk- -------------------------------- | Size of previous chunk (not used in fastbin) | -------------------------------- | Size of chunk, in bytes |A|0|P| -------------------------------- | Forward pointer to next chunk in list (fd) | -------------------------------- | Unused space (may be 0 bytes long) . . . . | nextchunk- --------------------------------这个fd指针指向同一个fastbin链表中的下一个空闲Chunk。fastbin是一个单链表使用LIFO后进先出策略这意味着最新被释放的Chunk会在链表的头部。malloc从fastbin分配时直接取走链表头的那个Chunk。实操心得在调试堆问题时看到用户数据区的前几个字节变成了一个看起来像地址的值那很可能就是fd指针。这可以帮助你快速判断一个Chunk是否已被释放并链入fastbin。3. 堆溢出漏洞的源头堆溢出发生的典型场景是程序在一个堆缓冲区比如通过malloc获得的数组上进行写操作时没有正确检查边界写入了超出其分配大小的数据。char *buf (char*)malloc(24); // 分配24字节用户空间 strcpy(buf, user_input); // 如果user_input长度超过23加上结尾空字符就会发生溢出溢出的数据会覆盖相邻内存。在堆的上下文中最危险的就是覆盖了下一个Chunk的头部即它的size字段以及如果它是空闲的还可能覆盖它的fd指针。为什么覆盖下一个Chunk的头部是致命的因为free和malloc在操作时严重依赖于对size字段的读取。例如当free(p)时分配器会通过p-size找到下一个Chunk的起始位置nextchunk p p-size并检查nextchunk的PREV_INUSE位等状态。如果p-size被恶意改大nextchunk就可能指向一个精心构造的假地址。当分配器尝试在这个假地址上执行操作如合并空闲块时就可能触发向任意地址写Write-Anything-Anywhere或执行任意代码。4. Fastbin Attack详解从溢出到利用Fastbin Attack是一种利用fastbin单向链表特性的攻击技术。它的核心目标是通过堆溢出等手段篡改一个已释放并位于fastbin链表中的Chunk的fd指针使其指向一个攻击者可控的地址通常是伪造的Chunk头。当下次分配相应大小的内存时分配器就有可能将这个伪造的Chunk分配出来从而让攻击者获得一个指向目标地址的指针实现任意地址读/写。4.1 攻击前提条件存在堆溢出能够覆盖一个已释放的fastbin chunk的fd指针。对目标地址有一定的控制至少能在目标地址附近构造一个看起来合法的size字段以通过fastbin的分配检查。能够触发两次分配第一次分配用于清空链表可选第二次分配时就会取到被污染的fd指针所指向的伪造Chunk。4.2 攻击步骤拆解我们假设一个简化场景存在一个溢出漏洞可以覆盖一个已释放的fastbin chunkA。步骤一布局堆状态首先我们需要让目标ChunkA被释放并放入fastbin。通常需要连续分配和释放一些Chunk来塑造堆的布局确保A被释放后其相邻Chunk处于使用中状态PREV_INUSE1这样它就不会被合并而是单独进入fastbin。// 伪代码示例 void *chunk1 malloc(0x30); // 假设fastbin范围是16-80字节 void *chunkA malloc(0x30); void *chunk2 malloc(0x30); free(chunkA); // 此时chunkA进入fastbin链表它的fd指向NULL链表尾 // chunk1和chunk2保持分配状态防止chunkA被合并步骤二触发溢出篡改fd指针利用漏洞比如对chunk1的溢出写覆盖chunkA的用户数据区也就是其fd指针所在的位置。内存布局溢出前 [chunk1用户数据...][chunkA头部][chunkA的fd0x00000000][...][chunk2头部]... 溢出发生后向chunk1写入超长数据 [chunk1用户数据...溢出数据][chunkA头部被覆盖][chunkA的fd被改为0xdeadbeef][...]这里我们将chunkA-fd从NULL改为了一个攻击者选定的地址fake_chunk_addr例如0xdeadbeef。现在fastbin链表变成了头节点 - chunkA - fake_chunk_addr - ???。步骤三在目标地址构造伪造的Chunk头为了让分配器相信fake_chunk_addr是一个合法的fastbin chunk我们需要在该地址附近提前布置数据使其看起来像一个Chunk的size字段。这个size必须落在fastbin的大小范围内例如0x30并且其对齐标志位如PREV_INUSE需要设置正确通常为1。这个伪造的size不需要对应真实的内存区域只需要能通过malloc的快速检查。在地址 0xdeadbeef - 8 处假设是32位布置数据 0xdeadbeef-8: [无关的prev_size] 0xdeadbeef-4: [size 0x31] // 假设用户申请0x30字节size为0x31PREV_INUSE1步骤四触发分配获取指向伪造地址的指针现在连续进行两次malloc(0x30)调用。第一次malloc(0x30)分配器会从fastbin链表头部取出chunkA返回给用户。链表头现在指向被我们篡改的fd即fake_chunk_addr。第二次malloc(0x30)分配器认为fake_chunk_addr是一个空闲的fastbin chunk将其从链表取下并返回一个指向fake_chunk_addr 8用户数据区的指针p_fake。步骤五利用指针实现攻击目标现在p_fake指向攻击者可控的地址0xdeadbeef。通过向p_fake读写攻击者就可以修改这个地址处的关键数据。经典的目标包括修改函数指针覆盖__malloc_hook、__free_hook或GOT表中的条目将其指向攻击者的shellcode或system函数地址。修改关键数据如修改认证标志、用户ID等。实现信息泄露如果伪造的Chunk位于某个包含指针的数据结构附近可以通过读取p_fake指向的内容来泄露地址绕过ASLR。4.3 关键检查与绕过ptmalloc的malloc在从fastbin取Chunk时会进行一项基本检查它确保要返回的Chunk的size字段与当前fastbin索引所期望的大小一致。这被称为“size检查”。// Glibc malloc.c 中的简化逻辑 if (__builtin_expect (fastbin_index (chunksize (victim)) ! idx, 0)) { errstr malloc(): memory corruption (fast); goto errout; }这就是为什么我们需要在伪造的地址布置一个正确的size值。这个检查相对宽松只检查size是否落在对应的fastbin大小范围内并不验证该Chunk是否真的由malloc管理。这给了攻击者伪造的空间。注意事项现代Glibc版本如2.32之后引入了更多的缓解措施例如对tcache和fastbin的fd指针进行异或加密safe linking这大大增加了利用难度需要先泄露堆地址才能成功构造攻击链。但在分析旧版本软件或特定环境时经典的Fastbin Attack仍然是必须掌握的原理。5. 关联漏洞实例与危害映射理解了Fastbin Attack的原理我们再回头看那些网络热词中的漏洞就能更深刻地体会其危害。以“nginx regex map指令堆缓冲区溢出漏洞”为例该漏洞的根源很可能是在处理map指令的正则表达式时某个堆缓冲区存储匹配结果或配置数据的边界计算错误导致可以写入超出分配大小的数据。如果这个缓冲区附近恰好有可以被释放到fastbin的Chunk攻击者就有可能通过精心构造的HTTP请求或配置文件触发溢出覆盖fastbin chunk的fd指针。在进程内存空间如通过大量请求在堆上喷洒数据中构造伪造的Chunksize。利用nginx后续的内存分配逻辑如为新的连接或请求分配内存触发Fastbin Attack。最终可能实现远程代码执行RCE完全控制运行nginx的服务器。其危害绝不仅仅是拒绝服务而是服务器沦陷。对于“OpenSSL缓冲区溢出拒绝服务漏洞(CVE-2016-2177)”官方描述是“在计算堆缓冲区的边界时出错”。虽然当时可能主要被利用于造成崩溃拒绝服务但其本质仍然是堆溢出。在复杂的攻击链中这样的漏洞完全可能与其他漏洞或内存布局技巧结合作为实现任意代码执行的第一步——即获取一个内存写原语。它的危害可以总结为该漏洞为攻击者提供了一个可能用于篡改堆内存管理结构的切入点在特定条件下可进一步被利用以实现拒绝服务甚至远程代码执行危及使用受影响OpenSSL版本进行加密通信的所有系统安全。6. 防御、检测与编码建议知道了攻击如何发生我们就能更好地防御。对开发者而言使用安全的函数摒弃strcpy,sprintf,gets等使用带长度限制的strncpy,snprintf,fgets。进行边界检查对所有来自外部的输入网络、文件、命令行进行严格的长度校验。利用现代编译器和语言特性使用C的std::string、std::vector代替原生数组开启编译器的栈保护-fstack-protector、地址空间布局随机化ASLR支持使用静态分析工具如Clang Static Analyzer和动态分析工具如AddressSanitizer-fsanitizeaddress进行代码审计和测试。AddressSanitizer能非常高效地检测出堆缓冲区溢出。及时更新依赖库像OpenSSL、nginx这样的基础组件一旦曝出堆溢出漏洞应第一时间评估并升级。对安全研究人员和运维人员理解崩溃信息malloc(): memory corruption (fast)就是一个明确的堆破坏信号应立即排查。熟练使用调试工具gdb配合pwndbg、gef等插件可以直观查看堆的布局、Chunk的状态和bin的情况。关注缓解机制了解目标系统Glibc版本的安全特性如tcache,safe linking这些会影响漏洞利用的成功率和方式。内存安全是一场永无止境的攻防战。深入理解ptmalloc2和Fastbin Attack就像拿到了一张堆内存世界的“地图”和“武器原理图”。它不仅能让你在漏洞分析和利用时游刃有余更能从根本上提醒你在每一行与内存打交道的代码背后都潜藏着需要被认真对待的风险。
郑州网站建设
网页设计
企业官网
