在线看glibc源码：https://elixir.bootlin.com/glibc/glibc-2.23/source/libio/

如果没有特别说明，下面涉及的源码和例子均是基于2.23版本。

1 IO_FILE相关知识

1.1 结构体

1.2 关键函数分析

强烈推荐阅读下面几篇文章：

• fopen：
• fread：

• fwrite：

• fclose：

对 IO_FILE 相关几个关键函数的分析可见上面列出的文章。我在此做一点可能是对做题无关紧要的补充及疑问：

• 前面分析了JUMP_FIELD，知道结构体_IO_jump_t中都是函数指针，但是这些函数指针在哪里被赋值去和它们对应的函数实现绑定的？是在做什么初始化的时候？

• 在分析fread函数的时候，走到 fread -> _IO_sgetn -> _IO_XSGETN的时候，应该是因为这对做题可能关系不大，我看文章都没有分析宏 _IO_XSGETN。

  • 在gdb中调试的时候， _IO_sgetn -> _IO_XSGETN这一步仅三行汇编，而后跳转到_IO_file_xsgetn，但是对应的汇编却显示函数名是__GI__IO_file_xsgetn，我在后面静态分析代码的时候没有发现这是为什么，希望有知道的大佬告诉本菜鸡。

• gdb调试走到调用宏_IO_XSGETN的地方：

• 静态分析_IO_XSGETN宏

最后，总结一下上面提到的《IO FILE之fxxxx详解》四篇文章：

IO FILE结构体包括两个堆结构，一个是保存IO FILE结构体的堆，一个是输入输出缓冲区的堆。

• fopen调用链

• fread调用链

• fwrite调用链：

• fclose调用链：

1.3 文件链表

通过_IO_FILE *_chain实现链表结构，头部是全局变量_IO_list_all

2 _IO_FILE攻击

2.1 虚函数表vtable劫持

如果能够控制_IO_FILE_plus结构体，实现对vtable指针的修改，使得vtable指向可控的内存，在该内存中构造好vtable，再通过调用相应IO函数，触发vtable函数的调用，即可劫持程序执行流。

劫持最关键的点在于修改IO FILE结构体的vtable指针，指向可控内存。一般来说有两种方式：一种是只修改内存中已有FILE结构体的vtable字段；另一种则是伪造整个FILE结构体。当然，两种的本质最终都是修改了vtable字段。

• 攻击条件
  • 有可控内存（视情况而定） -> 伪造FILE结构体
  • 任意地址写 -> 修改vtable指针

例子可参考：

2.2 FSOP

FSOP（File Stream Oriented Programming）的核心思想就是劫持_IO_list_all 的值来伪造链表和其中的_IO_FILE 项，但是单纯的伪造只是构造了数据，还需要某种方法进行触发。FSOP 选择的触发方法是调用_IO_flush_all_lockp，这个函数会刷新_IO_list_all 链表中所有项的文件流，相当于对每个 FILE 调用 fflush，也对应着会调用_IO_FILE_plus.vtable 中的_IO_overflow。

• _IO_flush_all_lockp 被系统调用的时机

  • 当 libc 执行 abort 流程时

  • 当执行 exit 函数时

  • 当执行流从 main 函数返回时

• _IO_flush_all_lockp 中调用_IO_OVERFLOW的条件，根据短路原理可知需满足：

  • fp->_mode <= 0
  • fp->_IO_write_ptr > fp->_IO_write_base

• FSOP攻击条件
  • 能泄露出libc的基址 -> 泄露出_IO_list_all的地址
  • 有可控内存 -> 伪造_IO_FILE和vtable
  • 任意地址写 -> 将_IO_list_all的内容改为指向可控内存的指针

2.2.1 ctf实例 - ciscn_2019_n_7

ida分析

• main

• main开头的sub_CA0

• add - 溢出

• edit - 在add溢出后可任意地址写

• show

• exit_

• 如果输入666，sub_C50打印puts函数的地址

• fsop攻击思路：

  • exit_ 函数关闭 stdout、stderr 后执行 exit() ，exit() 时系统会调用 _IO_flush_all_lockp ；或者随意输入一个不在菜单上的选项，让程序走main函数的return 0，也会调用_IO_flush_all_lockp（我用后一种思路成功了，前一种未找到原因，就是不成功）。

  • 修改article指针到 _IO_2_1_stderr_ ，布置绕过需要的数据；在适当位置写入 system ，将 vtable 劫持到这个空间上，完成劫持 _IO_flush_all_lockp 为 system 。

  • 写入 _IO_2_1_stderr_ 时将/bin/sh 写到 _IO_FILE 的头部，调用虚函数时 _IO_FILE 是第一个参数。

  因为 vtable 中的函数调用时会把对应的 _IO_FILE_plus 指针作为第一个参数传递，因此这里我们把 "sh" 写入 _IO_FILE_plus 头部。

  调试查看结构体：

  1	p * ((struct [结构体类型] * ) [地址])

调试分析

step1：泄露地址

step2:通过add覆盖article指针

step3：通过edit修改_IO_2_1_stderr_的内容

• 修改前

• 修改后

• _IO_FILE结构体里_flags和_IO_read_ptr之间相差8字节，结构体会地址对齐

1 2 3 4

pwndbg> p &(stderr - >_flags) $ 8 = ( int * ) 0x7f9d0bb2b540 <_IO_2_1_stderr_> pwndbg> p &(stderr - >_IO_read_ptr) $ 9 = (char * * ) 0x7f9d0bb2b548 <_IO_2_1_stderr_ + 8 >

步骤4：触发exit ->_IO_flush_all_lockp -> __overflow

exp

• 人工计算

• 利用pwn_debug构造fake_file

3 house of orange

< 2.26

原理为：堆溢出 + size(top chunk)<size(request) + unsorted bin attack + fsop

house of orange攻击的主要思路是利用unsorted bin attack修改_IO_list_all指针，并伪造_IO_FILE_plus结构体及其vtable（虚函数表）来劫持控制流。

• 利用过程

  • 通过堆溢出漏洞把top chunk的size改小

  • 通过申请一个比溢出修改后top chunk的size更大的chunk，使得top chunk进入unsorted bin，泄露出libc基址

  • 通过unsorted bin attack将_IO_list_all内容从_IO_2_1_stderr_改为main_arena+88/96（实则指向top chunk）

  • 在old_top_chunk伪造_IO_FILE_plus结构体及其vtable（虚表）来劫持控制流

在_IO_FILE_plus结构体中，_chain的偏移为0x68，而top chunk之后为0x8单位的last_remainder，接下来为unsorted bin的fd与bk指针，共0x10大小，再之后为small bin中的指针（每个small bin有fd与bk指针，共0x10个单位），剩下0x50的单位，从smallbin[0]正好分配到smallbin[4]（准确说为其fd字段），大小就是从0x20到0x60，而smallbin[4]的fd字段中的内容为该链表中最靠近表头的small bin的地址 (chunk header)，因此0x60的small bin的地址即为fake struct的_chain中的内容，只需要控制该0x60的small bin（以及其下面某些堆块）中的部分内容，即可进行FSOP。

• 利用条件
  • 堆溢出漏洞
    • 能修改top chunk的size
      • 分配的chunk大小小于0x20000，大于top chunk的size
      • top chunk大小大于MINSIZE
      • top chunk的inuse等于1
      • top chunk的大小要对齐到内存页
    • 能修改bk ->unsortedbin attack -> 任意地址写 -> 修改IO_list_all的内容
    • 能在top chunk伪造IO_FILE和vtable
  • 能泄露chunk的内容 -> 泄露libc某个地址 -> 泄露出_IO_list_all的地址

3.1 how2heap

调试分析

泄露_IO_list_all的地址

1.分配一个chunk

2.溢出修改top chunk的size

3.malloc一个更大的chunk时，将top chunk释放到unsortedbin中

heap的变化如下所示：

4.泄露出_IO_list_all的地址

为unsortedbin attack作准备

回顾unsortedbin attack，从unsorted bin中取出chunk时，会执行以下代码：

1 2 3 4 5 6 7 8 9 10 11

for (;; )    {      int iters = 0 ;      while ((victim = unsorted_chunks (av) - >bk) ! = unsorted_chunks (av)) / / 将最后一个chunk（victim）取出        {          bck = victim - >bk; / / bck为倒数第二个chunk          ......          / * remove from unsorted list * /          unsorted_chunks (av) - >bk = bck; / / 若发生攻击，则unsortedbin的bk设置成了改写的victim - >bk          bck - >fd = unsorted_chunks (av); / / 把倒数第二个chunk的fd设置为unsorted_chunks(av)          ......

所以，如果将victim的bk改写为某个地址，则可以向这个地址+0x10（即为bck->fd）的地方写入unsortedbin的地址（&main_arena+88）

5.为unsortedbin attack作准备，将old top chunk的bk指针为 io_list_all - 0x10

为fsop作准备

回顾fsop：

• _IO_flush_all_lockp 中调用_IO_OVERFLOW的条件，根据短路原理可知需满足：

  • fp->_mode <= 0
  • fp->_IO_write_ptr > fp->_IO_write_base

• FSOP攻击条件

  • 能泄露出libc的基址 -> 泄露出_IO_list_all的地址（满足）
  • 有可控内存 -> 伪造_IO_FILE和vtable（无法控制main_arena中的数据）
  • 任意地址写 -> 将_IO_list_all的内容改为指向可控内存的指针（满足）

6.为fsop作准备

前面unsortedbin attack可将_IO_list_all指针的值修改为main_arena+88。但这还不够，因为我们很难控制main_arena中的数据，并不能在mode、_IO_write_ptr和_IO_write_base的对应偏移处构造出合适的值。

所以将目光转向_IO_FILE的链表特性。_IO_flush_all_lockp函数会通过fp = fp->_chain不断的寻找下一个_IO_FILE。

所以如果可以修改fp->_chain到一个我们伪造好的_IO_FILE的地址，那么就可以成功实现利用了。

巧妙的是，_IO_FILE结构中的_chain字段对应偏移是0x68，而在main_arena+88对应偏移为0x68的地址正好是大小为0x60的small bin的bk，而由于我们能通过溢出漏洞改old top chunk的size，所以在将其链入smallbin[0x60]之后，就可以实现如下图所示的攻击链。

发起攻击

7.unsortedbin attack实施