听说你还不会UAF？

访客 2020年05月26日 14:29 309 0

本文来源:听说你还不会UAF？

作者：萌新合天智汇

前言：

这道题目反应了uaf的基本原理，pwn入门必做的题目，如果这一块了解的不够透彻，直接去打现在涉及各种奇技淫巧的pwn，肯定会被绕晕掉。所以为了照顾萌新（其实是我自己菜）把这道题目单独拿出来写一下。

这是一道uaf的题目，把二进制文件拉到本地来研究

听说你还不会UAF？-第1张图片-网盾网络安全培训

在分析前，先简单说一下c++的虚函数和uaf的前置知识

在c++中，如果类中有虚函数，那么这个类就会有一个虚函数表的指针vfptr，而子类会继承。

听说你还不会UAF？-第2张图片-网盾网络安全培训

uaf的原理：

在释放内存后未将指向原内存的指针置为null，use after free的意思就是在释放以后进行use。

举个简单的例子：

听说你还不会UAF？-第3张图片-网盾网络安全培训

原来的p指针指向一个结构体，当结构体没释放之后没有将p置为null，如果我们重新分配原结构体大小的空间，则指针p可以继续使用。但是再次使用时，因为p指针指向的内存包含的数据不是原来的数据了，此时的引用对于正常程序来说是有风险的，不过对于黑客来说，反而方便其进行控制。比如可以进行这些攻击：

    任意地址读：puts(p->name)—————>puts(char*(addr2))
    任意地址写：strcpy(p->name,data);——>strcpy((char *)(addr2),data)
    控制流劫持：p->func()———————>call addr3

这次的uaf题目基本相当于任意地址写

先看源码

uaf@pwnable:~$ cat uaf.cpp
#include fcntl.h>
#include iostream>
#include cstring>
#include cstdlib>
#include unistd.h>
using namespace std;
 
class Human{
private:
virtual void give_shell(){
system("/bin/sh");
}
protected:
int age;
string name;
public:
virtual void introduce(){
cout  "My name is "  name  endl;
cout  "I am "  age  " years old"  endl;
}
};
 
class Man: public Human{
public:
Man(string name, int age){
this->name = name;
this->age = age;
        }
        virtual void introduce(){
Human::introduce();
                cout  "I am a nice guy!"  endl;
        }
};
 
class Woman: public Human{
public:
        Woman(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout  "I am a cute girl!"  endl;
        }
};
 
int main(int argc, char* argv[]){
Human* m = new Man("Jack", 25);
Human* w = new Woman("Jill", 21);
 
size_t len;
char* data;
unsigned int op;
while(1){
cout  "1. use\n2. after\n3. free\n";
cin >> op;
 
switch(op){
case 1:
m->introduce();
w->introduce();
break;
case 2:
len = atoi(argv[1]);
data = new char[len];
read(open(argv[2], O_RDONLY), data, len);
cout  "your data is allocated"  endl;
break;
case 3:
delete m;
delete w;
break;
default:
break;
}
}
 
return 0;
}

听说你还不会UAF？-第4张图片-网盾网络安全培训

human父类，man和woman两个子类继承自human父类

human父类存在虚函数，会创建有虚表指针指向的一个虚表。Man和woman子类会继承，子类的虚表中会继承父类的所有项（并且当子类存在同名虚函数时，会修改vtable表项，指向自己的函数的地址。如果父类有私有函数，但是这个私有函数是虚函数，那么子类的vtable中同样会有这个函数的表项。每个虚表只有一个vptr，就算有多个虚函数也一样。但是当多重继承的时候，就会有多个vptr。

）

再看main

听说你还不会UAF？-第5张图片-网盾网络安全培训