【pwn学习】堆溢出（四）- off-by-one 漏洞

原创

已于 2022-02-22 14:43:20 修改 · 1.2k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#学习

于 2022-02-16 20:41:47 首次发布

本文详细介绍了off-by-one漏洞的概念，起因通常源于边界验证不足，如循环次数错误或字符串操作不当。文章通过实例展示了如何造成off-by-one漏洞，包括栅栏错误和off-by-null情况，并解释了其可能导致的内存破坏，特别是对于chunk大小记录的影响。最后，通过一个CTF例题进一步阐述了这种漏洞的利用方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

off-by-one 漏洞

前置学习

【pwn学习】堆溢出（一）

【pwn学习】堆溢出（二）- First Fit

【pwn学习】堆溢出（三）- Unlink和UAF

off-by-one是一种特殊的溢出漏洞，指只溢出一个字节的情况。

造成原因

造成off-by-one的原因常常是因为边界验证不充分。

循环写入时，循环次数设置错误导致多写入了一个字节；
字符串操作有误；

strlen 是我们很熟悉的计算 ascii 字符串长度的函数，这个函数在计算字符串长度时是不把结束符 '\x00' 计算在内的，但是 strcpy 在复制字符串时会拷贝结束符 '\x00' 。

利用

泄露的字节为可控制任意字节：通过修改大小造成块大小的重叠。

泄露的字节为null字节：可以清楚标志位。下面的检查在2.28版本后添加来针对这种情况。

      if (__glibc_unlikely (chunksize(p) != prevsize))
        malloc_printerr ("corrupted size vs. prev_size while consolidating");
      unlink_chunk (av, p);

示例

栅栏错误

栅栏错误通常是由于循环的边界没有控制好导致写入多执行了一次。

// example_2.c
int my_gets(char *ptr,int size)
{
   
   
    int i;
    for

最低0.47元/天解锁文章

200万优质内容无限畅学