高级堆利用技术
二进制安全学习路径 | 模块3 | 课程2
1. 引言
在掌握基本堆溢出技术后，高级堆利用技术代表了二进制漏洞利用领域中最复杂且强大的攻击手段。这些技术利用内存分配器的实现细节和行为特性，可以在现代保护机制下依然有效。本课程将深入探讨各种高级堆利用方法，帮助学习者理解复杂堆漏洞的原理和利用技巧。
学习目标： 理解现代堆管理器的内部结构和算法，掌握高级堆利用技术的原理和实现方法，学习如何识别和利用各类堆相关漏洞，以及在CTF比赛和安全研究中应用这些技术。
2. 堆基础知识回顾
2.1 内存分配器概述
不同系统的主要内存分配器：
- ptmalloc2：GNU/Linux系统中的默认分配器
- jemalloc：FreeBSD和某些应用程序如Firefox使用的分配器
- tcmalloc：Google开发的高性能分配器
- Windows Heap Manager：Windows系统的默认分配器
2.2 Linux堆结构回顾
GNU C库(glibc)堆管理的关键组件：
- Chunk：堆内存块的基本单位
- Bins：用于组织空闲块的容器(fastbins, smallbins, largebins, unsortedbin)
- Arena：多线程情况下的堆管理单位
- Top Chunk：堆顶块，用于满足无法从bins分配的请求
- Tcache：线程本地缓存，glibc 2.26后引入的性能优化
// Chunk结构示意（简化版）
struct malloc_chunk {
size_t prev_size; // 如果前一个chunk空闲，这里存储其大小
size_t size; // 当前chunk大小，最低3位用作标志位
// 当chunk分配时
char user_data[...]; // 用户数据
// 当chunk空闲时
struct malloc_chunk* fd; // 指向同一bin中的下一个chunk
struct malloc_chunk* bk; // 指向同一bin中的上一个chunk
};
2.3 常见堆漏洞类型
堆相关漏洞的主要类型：
- 堆溢出：写入超出分配边界的数据
- Use-After-Free (UAF)：使用已释放的内存
- Double Free：多次释放同一内存块
- Off-by-One：边界条件错误导致越界一个字节
- Null Byte Overflow：空字节溢出的特殊情况
- Type Confusion：对象类型混淆导致的内存操作错误
3. 堆元数据破坏技术
3.1 Unlink攻击
利用空闲块删除机制的经典攻击：
- 通过破坏空闲块的fd和bk指针
- 利用unlink宏进行任意地址写入
- 现代保护下的unlink攻击变种
// 经典unlink宏（简化版）
#define unlink(P, BK, FD) { \
FD = P->fd; \
BK = P->bk; \
FD->bk = BK; \
BK->fd = FD; \
}
现代glibc中添加了安全检查以防止简单的unlink攻击：
// 现代unlink宏中的安全检查
if (FD->bk != P || BK->fd != P) \
malloc_printerr("corrupted double-linked list");
3.2 House of系列攻击
一系列高级堆利用技术的总称：
- House of Force：通过破坏top chunk的size实现任意地址写入
- House of Spirit：伪造空闲块插入fastbin
- House of Lore：操作smallbin链表
- House of Orange：利用unsortedbin攻击和文件流
- House of Einherjar：通过Off-by-One漏洞伪造chunk边界
注意： House of系列技术通常需要特定条件才能使用，且随着glibc版本更新可能需要调整利用方法。实际利用中需要根据目标环境的具体版本选择合适的技术。
3.3 Off-by-One利用技术
利用单字节越界实现复杂攻击：
- 通过修改下一个chunk的size值
- 缩小chunk大小导致堆重叠
- 覆盖prev_inuse位触发块合并
// Off-by-One漏洞示例
void vulnerable_function() {
char *buffer = malloc(40);
gets(buffer); // 允许写入41字节，造成1字节越界
// 这一字节可能覆盖下一个chunk的metadata
}
4. Fastbin攻击技术
4.1 Fastbin基础
Fastbin是处理小内存块的特殊链表：
- 单链表结构，只使用fd指针
- LIFO（后进先出）顺序
- 没有合并操作，速度优先
- 大小通常为16到128字节（32位）或32到176字节（64位）
4.2 Fastbin Double Free
利用fastbin特性进行double free攻击：
- 在fastbin中，特定模式的double free不会立即检测出
- 可以创建循环链表实现任意地址写入
- 新版glibc增加了检测，但仍有绕过方法
// Fastbin Double Free示例
void *a = malloc(20); // 获取fastbin大小的chunk
free(a); // 第一次释放
free(b); // 释放另一个chunk作为"掩护"
free(a); // 再次释放a，造成循环链表
// 现在可以通过malloc操作实现任意地址写入
4.3 Fastbin Dup
Fastbin Double Free的变种：
- 利用double free创建同一块多次出现在链表中的情况
- 通过多次malloc获取同一内存位置的多个指针
- 实现对同一内存的多重控制
4.4 Fastbin伪造技术
通过伪造chunk结构攻击fastbin：
- 构造特定大小的fake chunk
- 绕过fastbin的大小检查（只检查size字段）
- 将fake chunk放入fastbin链表
- 实现在任意可写位置分配内存
技术要点： Fastbin攻击的关键在于理解其基于单链表的简单结构以及较少的安全检查，这使得它成为现代堆利用中最常用的技术之一。
5. Tcache攻击技术
5.1 Tcache介绍
Thread Cache是glibc 2.26后引入的性能优化：
- 每个线程独立的缓存，减少锁竞争
- 结构简单，最初安全检查较少
- 每个大小类别有固定数量槽位（默认7个）
- 优先级高于fastbin和其他bins
5.2 Tcache投毒
早期tcache实现中的主要漏洞利用技术：
- 修改tcache中空闲块的fd指针
- 指向任意地址（早期版本没有检查）
- 通过malloc直接返回指向该地址的指针
// Tcache投毒示例
void *a = malloc(0x40);
free(a); // 进入tcache
// 假设我们可以以某种方式修改a的fd指针
*(void **)a = target_address;
void *b = malloc(0x40); // 返回a
void *c = malloc(0x40); // 返回target_address
// 现在可以写入任意地址
5.3 Tcache Double Free
早期tcache未检测double free：
- 同一块可以多次释放进入tcache
- 可以创建循环链表
- 比fastbin double free更容易实现
5.4 Tcache安全检查增强
随着glibc版本更新，tcache安全性不断增强：
- glibc 2.28：增加了key检查，防止伪造chunk
- glibc 2.29：添加了double free检测
- glibc 2.32：增加了更多完整性检查
重要提示： tcache漏洞利用技术高度依赖于目标系统的glibc版本，在实际攻击中需要针对特定版本调整利用策略。
6. Use-After-Free利用技术
6.1 UAF原理
Use-After-Free是现代软件中常见的内存安全漏洞：
- 当内存被释放后，指向该内存的指针未被清空
- 程序继续使用这些悬空指针（dangling pointers）
- 如果该内存被重新分配给其他数据，会导致数据混淆和控制流劫持
// UAF漏洞示例
struct object {
void (*func_ptr)(void); // 函数指针
char data[20]; // 数据区域
};
struct object *obj = malloc(sizeof(struct object));
obj->func_ptr = legitimate_function;
free(obj); // 释放对象
// ... 程序继续执行 ...
// 此时obj指针仍然可用，但指向的内存已释放
// 如果该内存被重新分配并覆盖
obj->func_ptr(); // 可能调用攻击者控制的函数
6.2 UAF利用步骤
典型UAF漏洞利用流程：
- 识别程序中的UAF漏洞点
- 理解被释放对象的结构和用途
- 触发free操作
- 控制堆分配以获取被释放的内存块
- 写入精心构造的数据
- 触发对悬空指针的使用
6.3 高级UAF利用技术
在复杂场景中的UAF利用方法：
- 类型混淆：利用UAF实现不同对象类型间的混淆
- 虚表劫持：覆盖C++对象的虚函数表指针
- 堆布局操作：精确控制堆分配以确保攻击成功
- 信息泄露：利用UAF泄露敏感指针值绕过ASLR
安全提示： UAF漏洞在浏览器、PDF阅读器等复杂软件中尤为常见，也是高价值漏洞赏金项目中的热门漏洞类型。
7. Unsortedbin攻击
7.1 Unsortedbin基础
Unsortedbin是glibc堆管理的重要组成部分：
- 作为临时存储所有大小释放块的双向链表
- 提高内存分配效率的中间缓存
- 块最终会被分类到smallbins或largebins
- 使用fd和bk指针维护双向链表结构
7.2 Unsortedbin泄露
利用unsortedbin泄露堆地址的技术：
- 当chunk释放到unsortedbin时，其fd和bk指针指向main_arena
- 这些指针可以用来泄露libc基址
- 是绕过ASLR最常用的方法之一
// unsortedbin泄露示例
void *chunk = malloc(0x80); // 大小需要适合unsortedbin
free(chunk); // chunk进入unsortedbin
// 此时chunk的fd和bk都指向libc中的main_arena
// 如果可以读取chunk内容
unsigned long leak = *(unsigned long*)chunk;
unsigned long libc_base = leak - 0x3ebca0; // 偏移量视libc版本而定
7.3 Unsortedbin Attack
经典的unsortedbin attack利用技术：
- 利用unsortedbin的unlink操作
- 通过破坏fd和bk指针
- 向任意地址写入一个libc指针
- 可用于破坏关键数据结构
技术要点： Unsortedbin Attack在很多复杂利用链中扮演重要角色，尤其是需要泄露地址或影响特定内存位置时。
8. 堆喷射技术
8.1 堆喷射原理
堆喷射（Heap Spraying）是一种提高漏洞利用成功率的技术：
- 通过分配大量包含相同数据的对象填充堆空间
- 增大攻击代码或数据的"命中率"
- 降低地址随机化带来的不确定性
8.2 堆布局技术
精确控制堆内存布局的方法：
- 堆风水（Heap Feng Shui）：精确操作堆布局
- 堆整形（Heap Grooming）：准备特定堆环境
- 分配原语：找到可控大小的内存分配方式
- 释放原语：找到释放特定内存区域的方法
// 简单的堆喷射示例（JavaScript）
function heapSpray() {
var payload = unescape("%u4141%u4141"); // NOP sled + shellcode
var data = payload;
// 扩展payload到更大尺寸
while (data.length < 0x10000) {
data += data;
}
// 填充大量堆空间
var arr = new Array();
for (var i = 0; i < 500; i++) {
arr[i] = data.substring(0, 0x100000 / 2);
}
return arr;
}
8.3 堆喷射应用场景
堆喷射技术的主要应用场景：
- 浏览器漏洞利用
- 绕过ASLR时增加成功率
- 与UAF结合控制特定内存块的内容
- 在不完全可控的漏洞利用中增加可靠性
8.4 现代防御下的堆喷射
针对现代防御机制的堆喷射改进：
- 分段式堆喷射避免大内存分配
- 精准喷射减少内存消耗
- 利用特定对象的分配规律
- 结合侧信道确认喷射成功
9. 真实案例分析
9.1 CTF比赛中的堆利用
CTF比赛中常见的高级堆利用技术：
- 结合多种堆漏洞构建完整利用链
- 利用特定glibc版本的特性
- 自动化脚本加速堆布局控制
- PIE和ASLR环境下的信息泄露技术
# 典型CTF堆利用步骤
1. 泄露libc地址(通过unsortedbin或GOT表)
2. 泄露堆地址(利用UAF或chunk重叠)
3. 使用Tcache/Fastbin攻击控制关键内存区域
4. 劫持GOT表、__malloc_hook或__free_hook
5. 获取shell或读取flag
9.2 CVE案例分析
著名堆漏洞CVE分析：
- CVE-2019-5786：Chrome FileReader UAF漏洞
- CVE-2020-0796：Windows SMBv3堆溢出
- CVE-2021-22893：Pulse Secure远程代码执行
- CVE-2021-44228：Log4j UAF漏洞
9.3 复杂利用链构造
真实攻击中的复杂堆利用链：
- 多阶段利用链设计与实现
- 异常处理与稳定性保证
- 不同系统版本的适配技术
- 防御绕过与持久化结合
注意： 真实环境中的堆利用通常需要适应目标系统的具体情况，包括内存分配器版本、系统配置和防护机制等，远比实验环境复杂。
10. 保护措施与缓解方法
10.1 编译器保护
编译阶段的堆保护措施：
- SafeStack：将敏感数据与一般数据分离
- Control Flow Integrity：限制程序执行流程
- AddressSanitizer：检测内存错误的动态分析工具
- GWP-ASan：概率性内存错误检测
10.2 分配器增强
内存分配器层面的安全加固：
- Glibc安全检查增强（FD/BK检查、大小验证）
- 堆元数据保护（指针加密、校验和）
- 隔离堆（Isolated Heap）
- 随机化堆布局
// 现代glibc中的安全检查示例
// tcache double free检查
if (e->key == tcache)
malloc_printerr ("double free or corruption (tcache)");
// malloc_consolidate中的安全检查
if (nextchunk != av->top) {
if (__glibc_unlikely (!prev_inuse(nextchunk)))
malloc_printerr ("double free or corruption (!prev)");
...
}
10.3 系统级保护
操作系统级别的防护机制：
- 保护页：在关键内存区域之间插入不可访问页面
- ASLR和PIE：增加内存布局预测难度
- 内存分配随机化：堆布局随机化
- seccomp过滤：限制系统调用使用
10.4 安全编码实践
开发过程中避免堆漏洞的最佳实践：
- 使用安全内存管理库（智能指针、RAII）
- 空指针设置和引用计数
- 边界检查和大小验证
- 定期代码审计和模糊测试
- 内存错误检测工具的使用
最佳实践： 安全设计遵循纵深防御原则，结合编译期、运行时和系统级别的多层保护，同时保持警惕并跟踪最新的漏洞利用技术。