tcache_dup2

oogu ㅣ 2023. 2. 1. 15:00

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>

char *ptr[7];

void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);
}

void create_heap(int idx) {
	size_t size;

	if( idx >= 7 ) 
		exit(0);

	printf("Size: ");
	scanf("%ld", &size);

	ptr[idx] = malloc(size);

	if(!ptr[idx])
		exit(0);

	printf("Data: ");
	read(0, ptr[idx], size-1);

}

void modify_heap() {
	size_t size, idx;

	printf("idx: ");
	scanf("%ld", &idx);

	if( idx >= 7 ) 
		exit(0);

	printf("Size: ");
	scanf("%ld", &size);

	if( size > 0x10 ) 
		exit(0);

	printf("Data: ");
	read(0, ptr[idx], size);
}

void delete_heap() {
	size_t idx;

	printf("idx: ");
	scanf("%ld", &idx);
	if( idx >= 7 ) 
		exit(0);

	if( !ptr[idx] ) 
		exit(0);

	free(ptr[idx]);
}

void get_shell() {
	system("/bin/sh");
}
int main() {
	int idx;
	int i = 0;

	initialize();

	while(1) {
		printf("1. Create heap\n");
		printf("2. Modify heap\n");
		printf("3. Delete heap\n");
		printf("> ");

		scanf("%d", &idx);

		switch(idx) {
			case 1:
				create_heap(i);
				i++;
				break;
			case 2:
				modify_heap();
				break;
			case 3:
				delete_heap();
				break;
			default:
				break;
		}
	}
}

이전 문제와 보호 기법이 같다. 따라서 Got Overwrite 할 수 있고, 코드, 데이터 섹션이 고정되어 있다.

get_shell 함수도 존재해 특정 함수 got 값을 get_shell 주소로 덮어보자

삽질하기 전에 리모트 환경에 보호 기법이 존재하는지 확인해 보자

0번 index에 힙 영역을 할당받고 두 번 해제하는 코드이다.

프로그램이 종료되었다. 원래 double free 어쩌고 문구가 떠야 하지만 일부러 안 보이게 한 것 같다. 째든 tcache에 보호 기법이 적용되었다. 이를 우회해야지 tcache duplication이 가능하다.

코드를 보면 modify라는 함수에서 index와 size를 입력받고 size만큼 해당 index에 data를 넣을 수 있다.

이를 통해 free 된 청크 key 값을 바꾼 다음 free를 하면 보호 기법을 우회할 수 있다.

e -> key 위치는 fd 다음에 존재한다. 따라서 "A"*8 개로 fd 값을 덮고 "A"를 통해 e -> key 값 1byte를 "A"로 바뀌기 때문에 검증을 우회하여 free를 할 수 있게 된다. -> tcache duplication 발생!

프로그램이 종료되지 않는 걸 보면 보호 기법이 우회되었고 tcache duplication이 발생한 걸 알 수 있다.

이제 got를 get_shell 주소로 덮어보자

scanf got 값을 get_shell 주소로 덮었다.

로컬에서는 익스가 성공했다. 리모트 ㄱㄱ

[그림 1-8]은 리모트에서 시도한 것이다. 익스가 안된다....흠... 찾아보니까 일단 리모트 환경(20.04)이랑 로컬 환경(18.04) 우분투 버전이 다르다. 따라서 tc_idx라는 걸 신경 써야 된다고 한다. tc_idx는 bin에 들어간 청크의 개수 인다. 이 값이 0이면 tcache_bin에 청크가 없다는 뜻으로 tcache_bin을 참조하지 않는다고 한다.

직접 확인해보자