堆溢出----Off-By-One

最新推荐文章于 2024-07-04 09:01:50 发布

原创最新推荐文章于 2024-07-04 09:01:50 发布 · 3.8k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#堆溢出 #Off-By-One

pwn基础专栏收录该内容

13 篇文章

订阅专栏

本文深入探讨了Off-by-One漏洞的原理，通过具体代码示例分析了两种常见场景：循环边界错误导致的溢出和NULL字节越界。并以2016年Asis CTF竞赛题目为例，详细讲解了如何利用此类漏洞进行攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

学习资料：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/heap/off_by_one/#_5

off-by-one 指程序向缓冲区中写入时，写入的字节数超过了这个缓冲区本身所申请的字节数并且只越界了一个字节，emmm

看一下CTFWIKI给的第一个例子(循环边界)

int my_gets(char *ptr,int size)
{
    int i;
    for(i=0;i<=size;i++)
    {
        ptr[i]=getchar();
    }
    return i;
}
int main()
{
    void *chunk1,*chunk2;
    chunk1=malloc(16);
    chunk2=malloc(16);
    puts("Get Input:");
    my_gets(chunk1,16);
    return 0;
}

可以看到因为循环次数多了一次，存在溢出，这是一种

另一种和字符串有关(字符串操作)----NULL byte off-by-one

int main(void)
{
    char buffer[40]="";
    void *chunk1;
    chunk1=malloc(24);
    puts("Get Input");
    gets(buffer);
    if(strlen(buffer)==24)
    {
        strcpy(chunk1,buffer);
    }
    return 0;

}

乍一见没毛病啊，程序也跑得起来，但是溢出了

因为strlen函数计算字符串长度的时候是不包括结尾的\x00的，但是strcpy会，那就正好溢出了一个字节

例题：

1.2016 Asis b00ks----NULL byte off-by-one

熟悉的PIE\NX\Stack

看一下堆山有什么信息

我们可以看到每次创建一个book，需要开辟0x20个字节(IDA里可以看到创建book的函数里上来就是一个sub rsp,20h，对应的变量个数也能猜出来，之后还有malloc 0x20h)

struct book
{
    int id;
    char *name;
    char *description;
    int size;
}

其中name与description使用 malloc在堆山分配，大小都是自订的，创建完后

book = malloc(0x20uLL);
if ( book )
{
    *((_DWORD *)book + 6) = size;
    *((_QWORD *)off_202010 + v2) = book;
    *((_QWORD *)book + 2) = description;
    *((_QWORD *)book + 1) = name;
    *(_DWORD *)book = ++unk_202024;
    return 0LL;
}                                          //推一下就好了

接下来就是找漏洞的过程了，第一次找这类的还是花了我一些时间的