堆溢出----Unlink

最新推荐文章于 2025-05-26 09:34:30 发布

xiaoyuyulala

最新推荐文章于 2025-05-26 09:34:30 发布

阅读量892

点赞数 1

CC 4.0 BY-SA版权

分类专栏： pwn基础文章标签： Unlink 堆溢出

本文链接：https://blog.youkuaiyun.com/qq_42192672/article/details/83317669

这篇博客详细介绍了堆溢出中Unlink的技术原理，包括如何通过覆盖chunk header实现unlink操作，以及如何绕过现代glibc的额外检查机制。通过示例展示了如何利用这种方法改变free函数的got表项，执行自定义的shellcode。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

学习资料：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/unlink/

http://www.anquan.us/static/drops/tips-16610.html

原理直接拷贝CTFWIKI的原话

这个直接看图挺容易懂得，有点像数据结构的链表操作

这个就是unlink的基本操作，函数如下

#define unlink(P, BK, FD) {      
    FD = P->fd;                                  
    BK = P->bk;                                  
    FD->bk = BK;                              
    BK->fd = FD;                                  
    ...
}

P就是当中的那块，BK就是最左边的那块，FD就是最右边的那块

一波血泪史，最早的时候unlink很简单，如下

最低0.47元/天解锁文章

200万优质内容无限畅学

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

xiaoyuyulala

关注关注

1
点赞
踩
4

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

专栏目录

堆溢出之unlink_地址任意写

zhuo1358的博客

09-15

947

我们先来回顾一下堆方面的基础知识，我们知道，当我们free一个大小超过0x90的chunk时，会检查这个chunk物理意义上相邻的前一个chunk是否是空闲状态，如果是，两个chunk会合并成一个大的chunk来合理利用空间。这里的p64(0x30)是下一个chunk的pre_size域，p64(0x90)是下一个chunk的大小，目的是为了触发unlink和绕过检查(只有一个大于0x80的chunk释放时才会触发unlink)：检查与被释放chunk相邻高地址的chunk的size的P标志位是否为0。

CTF之堆溢出-unlink原理探究

BadRer的博客

06-12

1万+

来干！来干！转战堆溢出，这东东确实接触的很少，听说很神奇很细腻。我也是初次接触就和大家一起共同学习下，也填补下这方面的空白。 https://sploitfun.wordpress.com/2015/02/26/heap-overflow-using-unlink/ 这篇文章讲的就是堆溢出的原理，不过全是英文，估计。。。慢慢看，不急。我就结合着它给的示例程序来分析下原理，以及如何利用堆溢出。

参与评论您还未登录，请先登录后发表或查看评论

堆溢出-unlink

yms0211的博客

03-18

1034

#有几张图出自hollk师傅的文章，原文链接：https://blog.youkuaiyun.com/qq_41202237/article/details/108481889# 堆溢出-unlink 对unlink的利用大概就是对chunk进行内存布局，然后借助unlink中对指针的操作来修改chunk中的指针 unlink的宏定义： #define unlink(AV, P, BK, FD) { FD = P->f

unlink知识点和手法

最新发布

2401_88087539的博客

05-26

719

pwn新手小白，写完题后整理的一点点思路，有任何问题各位师傅可以提出，接收批评指正

堆(栈)溢出之unlink

jiuweideqixu的博客

08-12

414

Daddy! how can I exploit unlink corruption? ssh unlink@pwnable.kr -p2222 (pw: guest) 源代码如下： #include <stdio.h> #include <stdlib.h> #include <string.h> typedef struct tagOBJ{ struct tagOBJ* fd; struct tagOBJ* bk; .

unlink attack_二进制安全之堆溢出（系列）—— unlink

weixin_39834281的博客

10-27

248

本文是二进制安全之堆溢出系列的第五章节，主要介绍unlink。源程序#include <stdio.h> #include <malloc.h> #include <unistd.h> #include <string.h> long long list[30]={0}; int main() { char *p = malloc(0x80)...

堆溢出的unlink利用方法

weixin_34277853的博客

03-08

445

藏在灌木丛中 · 2015/07/22 14:180x00 背景本文写给对堆溢出无的放矢的童鞋，分为如下几部分：一.经典的unlink利用方法简介二.在当今glibc的保护下如何绕过进行unlink利用复制代码建议阅读本文之前先对glibc的malloc.c有所了解你可以在这里在线看到所有的malloc.c的源码0x01 第一部分首先简要介绍一下堆chunk的结构我们可以在malloc.c中找...

CTF-WiKi堆溢出--pwngdb原理讲解

QX_XDE的博客

10-18

1270

利用pwngdb讲解堆溢出是如何产生以及利用的

zctf2016_note2-堆利用-unlink

Sa1nZen的博客

06-22

347

zctf2016_note2-堆利用-unlink

初级堆溢出-unlink漏洞

weixin_34395205的博客

09-30

331

Linux下堆的unlink漏洞参考文章：https://blog.youkuaiyun.com/qq_25201379/article/details/81545128 首先介绍一下Linux的堆块结构： struct malloc_chunk { INTERNAL_SIZE_T prev_size; INTERNAL_SIZE_T size; struct malloc_chunk *f...

【pwn学习】堆溢出（三）- Unlink和UAF

Morphy_Amo的博客

01-21

2350

堆溢出中的unlink和UAF

Linux (x86) Exploit 开发系列教程之九使用 unlink 的堆溢出

热门推荐

龙哥盟

05-02

4万+

使用 unlink 的堆溢出 译者：飞龙原文：Heap overflow using unlink 预备条件：理解 glibc malloc 这篇文章中，让我们了解如何使用 unlink 技巧成功利用堆溢出。但是在了解它之前，首先让我们看看漏洞程序：/* Heap overflow vulnerable program. */ #include <stdlib.h> #in

【堆漏洞-unlink】

m0_52343643的博客

04-06

743

当一个堆块（非fastbin）释放时，libc会先看其相邻的堆块是否空闲，空闲的话就将这个相邻堆块从bins中取出，并与当前释放堆块合并，而这个bins中取出堆块的过程就是unlink。

堆溢出 unlink

qq_69100706的博客

08-19

452

在CTF（Capture The Flag）竞赛中，unlink攻击是一种利用glibc堆管理器中free函数的实现漏洞进行的攻击。这种攻击的目标是控制堆中内存块的双向链表，从而允许攻击者修改或控制程序的状态。unlink攻击主要关注的是堆中的free操作如何处理内存块的链接。

CTF-PWN-4-ReeHY-main-100（堆溢出+double free+unlink）

SuperGate的博客

10-09

701

程序综述题目包含了一个动态库.so文件和elf文件，checksec查看： supergate@ubuntu:~/Desktop/Pwn$ checksec pwn [*] '/home/supergate/Desktop/Pwn/pwn' Arch: amd64-64-little RELRO: Partial RELRO Stack: No can...

linux堆溢出学习之unsafe unlink

jmp esp

12-10

3451

示例代码来源：https://github.com/Escapingbug/how2heap/blob/master/unsafe_unlink.c#include <stdio.h> #include <stdlib.h> #include <string.h> #include <stdint.h> uint64_t *chunk0_ptr;int main() { printf("We

暑假集训——Hitcon_Trainning——lab11_bamboobox——堆unlink

qq_41667316的博客

07-15

476

UNLINK 思路其实是艰辛的心路历程这道题是昨天晚上这个时间就想到的思路 [虽然是道基础题但是是难得的一道没看别人exp就想到怎么写的题，当时觉得自己已经登顶了（bushi] 毕竟是一道套路题的确套路了我【微笑.jpg】 change_note这个函数里面没有检查输入长度，堆溢出。堆的几个漏洞里面，堆溢出我只会unlink，所以就顺着这个思路一直往下写了。 UNLINK 概念合...

heap 漏洞 unlink

samohyes的博客

06-05

587

看了好久没看懂、、、一知半解，把链接放这里，慢慢看内存管理机制https://jaq.alibaba.com/community/art/show?spm=a313e.7916648.0.0.680125d6KB9x2z&articleid=334漏洞利用http://manyface.github.io/2016/05/19/AndroidHeapUnlinkExploitPractic...

CTF(pwn) 堆利用之 unlink 介绍

半岛铁盒的博客

07-01

1015

unlink是链表中常见的操作,而我们需要利用这个过程通过改变链表指针,使中间堆块拿出来当前的unlink会有一个对链表的完整性检查的 // 由于 P 已经在双向链表中，所以有两个地方记录其大小，所以检查一下其大小是否一致(size检查) if (__builtin_expect (chunksize(P) != prev_size (next_chunk(P)), 0)) \ malloc_printerr ("corrupted size vs. prev_size");