unlink

堆 pwn

---

glibc中间维护的bins其实是用来存放malloc时从heap中割下来的堆,为了避免在heap中割下了太多的连续的free chunk，系统会将free chunk自动合并到top chunk中去（top chunk指系统heap中最高位未分配的那个chunk）或者合并成为更大的一个chunk。

---

条件：相邻的两块chunk 一块为top chunk 一块为free chunk 或者两块两块 free chunk。所以我们要做的是先连续割两块chunk，保证他们是连续的，以保证他们会unlink。

在溢出时之所以要覆写p位，就是为了能够触发unlink

---

流程：
如果上一块是free chunk
  合并上一块chunk并对上一块做unlink
如果下一块是
  top：合并到top
  一般chunk：
    是free chunk：合并下一块chunk，并对下一块做unlin。最终加入unsortedbin
    正在使用中：加入unsortedbin

---

最终结果，所有的同样大小的free chunk递归合并

---

假定有三块连续的smallchunk
第一块第二块freed，第三块issued。
***********************************
prevsize = 0
size = 0x80
fd = &smallbin
bk = &smallbin
***********************************
prevsize = 0
size = 0x80
***********************************
prevsize = 0
size = 0x81(p位+1代表上一块已经使用已经使用)
***********************************

free(p)(第二块),就会导致一二两块合并，从而触发unlink
系统检验p+size 与p-prevsize得到了上下两个块的头

p+0x10为FD，p+0x18为BK

unlink(P,FD,BK)
{
    P = p
    FD = P -> BK
    BK = P -> FD
    FD -> BK = BK
    BK -> FD = FD
}

相当于将这个块从bin中脱链。然后系统会将上一个块更改size之类的，然后链到unsortedbin上。

---

预期利用方式，将程序劫持到shellcode中

shellcode是一段用于利用软件漏洞而执行的代码，以其经常让攻击者获得shell而得名。 shellcode常常使用机器语言编写。

利用unlink导致返回了weichunk中指向的地址。最后触发任意写，将必须触发的函数在got表中值改到shellcode，或者更改函数指针变量的值导致触发system()。

---

利用思路:
首先很直观地想到通过堆溢出q堆盖掉后面的FD和BK，将fd改为gou entry -12，将bk 改为 shellcode 的地址，将size低位改为1。在free(q)时会发生如下过程：

free(q)
FD = P->fd = got entry -12
BK = P->bk =sc(shellcode) addr
FD->bk=BK(got hijacking)
got entry -12 +12 = sc addr
BK->fd=FD
sc addr+8=got entry -12

在此过程后，会会进行一次任意写将FD+0x10的地方写入shellcode
然而在现实情况中，现代的glibc会有着针对chunk的检查以及其他保护机制，使得该方法无法使用。
因此我们的利用方式是
***********************************
prevsize = 0
size = 0x80

***********************************
prevsize = 0
size = 0x91
< r指向此处>
***********************************
prevsize = 0
size = 0x80(p位+1代表上一块已经使用已经使用)
< q指向此处>
***********************************
通过对于第二个chunk进行堆溢出将第二个块整体盖掉然后在其中伪造一个chunk并且改写第三个堆块的prev_size
最后变为
***********************************
prevsize = 0
size = 0x80

***********************************
prevsize = 0
size = 0x91
fake prev_size = 0x90< r指向此处>
fake size = 0x80
fake fd = &r-0x18
fake bk = &r-0x10
***********************************
prevsize = 0x80
size = 0x80(p位+1代表上一块已经使用已经使用)
< q指向此处>
***********************************
这样子在可以绕过两个检查，成功将r并入了chunk中从而进行任意写。
具体流程：
free(q)
找到q与r都是freed
找到了最下面的q，通过q-0x10找到的prev_size。q-0x10-prev_size找到r。对于r执行unlink
跳过了check：
r->fd->bk == r = *(&r-0x18+0x18) ==r
f->bk->fd == r = *(&r-0x18+0x18) ==r

FD->bk = BK =》（&r-0x18+0x18）=&r-0x10
BK->fd = FD =》（&r-0x10+0x10）=&r-0x18