2. 程式人生 > >堆之*bin理解

堆之*bin理解

阿新 • • 發佈：2018-10-23
ber 記錄 link padding 如果 http 出了 a star usr

在程序運行中，使用bins結構對釋放的堆塊進行管理，以減少向系統申請內存的開銷，提高效率。

chunk數據結構

從內存申請的所有堆塊，都使用相同的數據結構——malloc_chunk，但在inuse和free狀態，表現形式上略有差別。

chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Size of previous chunk, if unallocated (P clear)  |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Size of chunk, in bytes                     |A|M|P|
  mem-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             User data starts here...                          .
        .                                                               .
        .             (malloc_usable_size() bytes)                      .
next    .                                                               |
chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             (size of chunk, but used for application data)    |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Size of next chunk, in bytes                |A|0|1|
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

以上為malloc所得到的chunk的結構，前兩個size_t為chunk_header，分別保存前一個(物理相鄰)chunk的size(如果前一個chunk為空閑，則保存其size；若為使用狀態則歸前一個chunk作為usrdata區域使用) 和本chunk的size。因分配的空間會向2*size_t進行對齊，所以後3bit沒有意義，因而將其作為三個標記位

  • A ： NON_MAIN_ARENA，記錄當前 chunk 是否不屬於主線程，1表示不屬於，0表示屬於
  • M ： 記錄當前 chunk 是否是由 mmap 分配的
  • P ： 記錄前一個 chunk 塊是否被分配。

chunk被free之後，其usrdata區域被復用，作為bin中的鏈表指針，其結構如下

chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Size of previous chunk, if unallocated (P clear)  |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
`head:‘ |             Size of chunk, in bytes                     |A|0|P|
  mem-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             fd                                                |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             bk                                                |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             (fd_nextsize)                                     |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             (bk_nextsize)                                     |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Unused space (may be 0 bytes long)                .
        .                                                               .
 next   .                                                               |
chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
`foot:‘ |             Size of chunk, in bytes                           |
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
        |             Size of next chunk, in bytes                |A|0|0|
        +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
  • fd和bk指針分別指向bin中在其之前和之後的chunkfd指向先進入bin者；bk指向後來者。
  • fastbin中只有fd指針，使用單向鏈表進行維護。
  • fd_nextsize和bk_nextsize只存在與large bin中（chunk的size不大時不需要這兩個變量，也可能沒有他們的空間），指向前/後一個更大size的chunk。

fastbin

對於size較小(小於max_fast)的chunk，在釋放之後進行單獨處理，將其放入fastbin中。

max_fast:

在32位系統中，fastbin裏chunk的大小範圍從16到64；

在64位系統中，fastbin裏chunk的大小範圍從32到128。

fastbin是main_arena中的一個數組，每個元素作為特定size的空閑堆塊的鏈表頭，指向被釋放並加入fastbin的chunk。

fastbin鏈表采用單向鏈表進行連接

技術分享圖片

如圖所示，在free之後，會將被free掉指向的地址“掛”在fastbin相應大小的條目下，以便於下次分配時節省時間 (曾經為了節省free指針的時間而不free，原來浪費了這麽多時間，心疼我的無數個TLE)

在分配空間時，首先檢查fastbin數組對應大小的條目下是否有“空閑”的空間，有則直接取下進行分配，同時修改fd指針，維護單向鏈表。

  1. 在fastbin條目下，無論是free掉的空間地址加進來，還是將空閑的空間地址分配出去，都是在根部操作
    • 加入free的空間時，新加入的連在根部，（如新加入chunk3,插入鏈表根部，chunk3->fd指向原來最靠近bin的chunk1），類似蛋白質的翻譯過程
    • 分配空間時，若在對應大小的條目下有空閑的空間，則按蛋白質翻譯的逆順序進行操作（上圖中取出chunk3，將chunk3->fd = chunk1鏈在bin上）
  2. malloc(n)時，實際申請的空間sizeof(chunk) = (n + 4) align to 8 (x86)
    • 實際申請的空間從chunk開始，當堆中物理相鄰的前一個chunk為free時，Size of previous chunk標記前一個chunk的大小，否則可以存儲前一個chunk的數據。之後是本chunk的大小，由於分配的必定是24bytes（64位為28bytes）的整數倍，最後三位沒有影響用作三個標記位。
    • malloc函數範圍的指針是從mem開始的用戶可用空間。

unsorted bin

unsorted bin 可以作為chunk 被釋放和分配的緩沖區。在malloc&free剖析中解釋了malloc和free活動中對unsorted bin的使用。這裏從更微觀的角度解釋unsorted bin如何工作。

main_arena

main_arena,主分配區，是一個靜態全局變量，其中存儲著進行堆塊管理的各種變量和指針。

技術分享圖片

fastbin各項指針、topchunk、和bins指針都存在於這個變量當中。

unsorted bin指針就是bins指針的前兩項，ptmalloc共維護128個bin，都存放於bins數組中。

  • 前兩項為unsorted bin的指針
  • bins[2] - bins[65]的64個元素為small bin指針
  • bins[66] - bins[127]為large bin

unsorted bin

下面通過這段代碼分析在釋放和分配chunk時unsorted bin中各指針的工作細節：

# include <stdio.h>
# include <stdlib.h>
int main()
{   
    void *a, *b, *c, *d, *e;
    a = malloc(128);
    b = malloc(128);
    c = malloc(128);
    d = malloc(128);
    e = malloc(128);
    printf("a >> %p\nb >> %p\nc >> %p\nd >> %p\ne >> %p\n",a,b,c,d,e);
    puts("free d and b, remember the bins");
    free(d);
    free(b);
    //puts("free c,look at the unsorted bin");
    //free(c);
    puts("malloc(128) again, what will happen?");
    void * newd = malloc(128);
    printf("new d -> %p\n", newd);
    return 0;
} 
//make file(x64):
//gcc -o unsortedbin ./test_unosrted -no-pie

運行後得到分配的五個chunk的地址，由於直接輸出了返回給用戶的指針，所以指向的都是usrdata，指向實際chunk頭的地址應該減去0x10。

a >> 0x602010
b >> 0x6020a0
c >> 0x602130
d >> 0x6021c0
e >> 0x602250

  1. 沒有發生free之前

    技術分享圖片

    bins數組的前兩個可以看做unsorted bin的fd和bk指針，在unsorted bin為空的時候都指向top (main_arena+88)

    CTFwiki對這個過程具體流程和背後原理的示意圖不太準確：unsorted bin鏈表頭並不是malloc_chunk結構體，而是main_arena變量中bins列表的前兩項分別做fd和bk指針，指向的位置也不是pre_size，而是main_arena中的top，top指向top chunk。我的理解是這樣的，如有錯誤，還請指出。

  2. free(d)

    pwndbg> unsortedbin 
unsortedbin
all: 0x6021b0 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x6021b0 ?— 0x7ffff7dd3b58
pwndbg> p main_arena 
$2 = {
  mutex = 0, 
  flags = 1, 
  fastbinsY = {0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0}, 
  top = 0x6026e0, 
  last_remainder = 0x0, 
  bins = {0x6021b0, 0x6021b0, 0x7ffff7dd3b68 <main_arena+104>, 0x7ffff7dd3b68 <main_arena+104>...
pwndbg> telescope 0x6021b0
00:0000│   0x6021b0 ?— 0x0
01:0008│   0x6021b8 ?— 0x91
02:0010│   0x6021c0 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x6026e0 ?— 0x0
... ↓

    技術分享圖片

    此時unsorted bin的兩個指針均指向被釋放的d，d的fd、bk指針指向top

  3. free(b)

    pwndbg> p main_arena 
$3 = {
  mutex = 0, 
  flags = 1, 
  fastbinsY = {0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0}, 
  top = 0x6026e0, 
  last_remainder = 0x0, 
  bins = {0x602090, 0x6021b0, 0x7ffff7dd3b68 <main_arena+104>,...
pwndbg> unsortedbin 
unsortedbin
all: 0x602090 —? 0x6021b0 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x602090 ?— 0x6021b0
pwndbg> telescope 0x602090 
00:0000│   0x602090 ?— 0x0
01:0008│   0x602098 ?— 0x91
02:0010│   0x6020a0 —? 0x6021b0 ?— 0x0
03:0018│   0x6020a8 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x6026e0 ?— 0x0
04:0020│   0x6020b0 ?— 0x0
... ↓
pwndbg> telescope 0x6021b0
00:0000│   0x6021b0 ?— 0x0
01:0008│   0x6021b8 ?— 0x91
02:0010│   0x6021c0 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x6026e0 ?— 0x0
03:0018│   0x6021c8 —? 0x602090 ?— 0x0
04:0020│   0x6021d0 ?— 0x0

    技術分享圖片

    新釋放的b會連載unsortedbin的根部，各指針的關系如圖。

  4. malloc(128)

    pwndbg> p main_arena 
$4 = {
  mutex = 0, 
  flags = 1, 
  fastbinsY = {0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0, 0x0}, 
  top = 0x6026e0, 
  last_remainder = 0x0, 
  bins = {0x602090, 0x602090, 0x7ffff7dd3b68 <main_arena+104>, ...
pwndbg> unsortedbin 
unsortedbin
all: 0x602090 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x602090 ?— 0x7ffff7dd3b58
pwndbg> telescope 0x602090
00:0000│   0x602090 ?— 0x0
01:0008│   0x602098 ?— 0x91
02:0010│   0x6020a0 —? 0x7ffff7dd3b58 (main_arena+88) —? 0x6026e0 ?— 0x0
... ↓
04:0020│   0x6020b0 ?— 0x0

    此時unsorted bin又只有一個chunk，指針關系與剛剛free(d)時相同，但在bin中的是b，先進入的d被再次分配，由此得到，unsorted bin中遵循FIFO原則，先進入的chunk在size合適的情況下會被優先分配。

    在unsorted bin中進行分配的時候，size不合適的chunk會被放入small bin或large bin，這個unlink的過程沒有對chunk進行檢查，所以被篡改過的chunk也能通過unlink，破壞掉鏈表中的fd、bk指針，即unsorted bin attack。

small bins & large bin

chunk進入small bin和large bin的唯一機會是在分配chunk時，在unsorted bin中進行遍歷，size不合適的chunk會被unlink過來。

small bin和large bin都是采用雙向鏈表進行維護，遵循FIFO原則。

其中large bin中的chunk有fd_nextsize和bk_nextsize，分別指向之前/之後更大的chunk，加快尋找速度。

在分配chunk的時候，如果前面的步驟都沒有找到合適的chunk，則在small bin和large bin中找到最小的large enough的chunk，進行分割，unlink，分配完成。

Ref：

安全技術精粹

CTF wiki


作者：辣雞小譜尼
出處：http://www.cnblogs.com/ZHijack/
如有轉載，榮幸之至！請隨手標明出處；

堆之*bin理解

相關推薦

堆之*bin理解

ber 記錄 link padding 如果 http 出了 a star usr 在程序運行中，使用bins結構對釋放的堆塊進行管理，以減少向系統申請內存的開銷，提高效率。 chunk數據結構 從內存申請的所有堆塊，都使用相同的數據結構——malloc_chunk，但在i

謝煙客---------Linux之深入理解anaconda使用

linux獲取詳細的幫助: 官方文檔: 《Installation Guide》anaconda位置anaconda命令行anaconda配置方式kickstart文件格式kickstart創建基於光盤安裝linuxanaconda位置 光盤、ftp、nfs、httpd、nfs**基於光盤，安裝l

Vue之徹底理解自定義組件的v-model

自動 value tro 需要 this 變量 mode type 自定義 最近在學習vue，今天看到自定義事件的表單輸入組件，糾結了一會會然後恍然大悟...官方教程寫得不是很詳細，所以我決定總結一下。 v-model語法糖 v-model實現了表單輸入的雙向綁定，我們

Android開發之深入理解泛型extends和super的區別

我想 lis dataset 文檔 cnblogs extend 擦除 選擇 提前 摘要： 什麽是泛型？什麽是擦除邊界？什麽是上界限定或下界限定（子類型限定或超類型限定）？什麽是類型安全？泛型extends關和super關鍵字結合通配符?使用的區別，兩種泛型在實際Andro

css之深入理解overflow

com bsp mage overflow log clas 自己 blog info 主要是對大神講解的視頻的總結，我自己是寫不出來什麽東東的 css之深入理解overflow

生產者/消費者模式之深入理解

模板 必須 winapi 協議 針對 sso 額外 fill 功能實現 #include <windows.h> #include <iostream> const unsigned short SIZE_OF_BUFFER = 2; //緩沖區長

Java動態代理之通俗理解

java動態代理代理模式介紹 代理模式是一種常用的設計模式，其作用就是為目標對象提供額外的訪問方式，在不修改目標對象的前提下，擴展目標對象的額外功能，比如統計執行時間，打印日誌等。 代理模式分為兩種：靜態代理和動態代理。 需求：假如不想改動原有代碼情況下，並記錄用戶保存方法的執行時間。示例代碼如下： 接口 p

Linux 之 SSH 理解

SSHSSH 理解 一、服務端sshd_conf配置文件理解 Port 22 #ssh 連接默認端口 PermitRootLogin yes #是否允許root用

區塊鏈TOP1重入漏洞之自我理解【原創】

bubuko ont 國內 編程語言 credit 導致 被攻擊 復合 我們 最近在研究區塊鏈方面的漏洞，智能合約top 1重入漏洞。在網上找了很多相關的文章，發現大部分都是通過代碼進行分析。話說，我們不了解平臺，只是熟悉代碼，只知其原理不知其過程，不便於我們的漏洞理解。

Java多線程之深入理解synchronize關鍵字

tracking 而不是 方法 獲得 content cal art track () synchronize鎖重入： 關鍵字synchronize擁有鎖重入的功能，也就是在使用synchronize時，當一個線程的得到了一個對象的鎖後，再次請求此對象是可以再次得到

js 難點之原型理解

意圖 使用 指向 const ant 區別 ott 調用 images 構造函數創建對象我們先使用構造函數創建一個對象：function Person() { } var person = new Person(); person.name = ‘Kevin‘; conso

C語言自學之指標理解

目的： 通過以下學習，希望能理解指標的概念，理解指標和陣列的關係，理解指標的定義，掌握指標的用法。 1. 簡述   用C語言寫的程式碼基本上都用到指標，掌握好指標的概念對學好C有很大幫助。 為了方便理解我們可以把指

UGUI 之Canvas理解

對於UGUI來說，Canvas這個元件至關重要，由於自己對UGUI也是初學者，根據使用過程中的理解做一下總結； Canvas (畫布) 是所有 UI 元件的父物體 , 也就是說每一個 UI 元件都必須在 Canvas 下 , 作為 Canvas 的子物體 , 當你建立一個 UI 控制元件時

影象學習之如何理解方向梯度直方圖（Histogram Of Gradient）

按：本文作者 Slyne_D，原文載於作者的簡書主頁，用於非商業學習，侵刪致歉！ 本文主要翻譯了Histogram of Oriented Gradients一文。 特徵描述子(Feature Descriptor) 特徵描述子就是影象的表示，抽取了有用的資訊，丟掉了

程序、執行緒、協程之概念理解

https://www.cnblogs.com/work115/p/5620272.html 一、概念 　　1、程序 　　程序（Process）是計算機中的程式關於某資料集合上的一次執行活動，是系統進行資源分配和排程的基本單位，是作業系統結構的基礎。在早期面向程序設計的計算機結構中，程序

讀書筆記之深入理解Java虛擬機器

深入理解Java虛擬機器 2.2 執行時資料區域 2.2.1.程式計數器 可以看做是當前執行緒所執行的位元組碼的 行號指示器。 每個執行緒都需要一個 獨立的程式計數器。（這類記憶體區域為"執行緒私有"的記憶體

設計模式之初理解

什麼是設計模式？ 簡單的說，它是一個程式碼設計經驗的一個總結（一種套路），經過反覆的使用，被多數人知曉，不斷的分類而衍生出來。是為人們解決某類重複出現問題的一套成功或有效的解決方案。 為什麼要使用設計模式？ 每個模式都描述了我們在程式設計過程中出現的各種問題，使用設計模式，可

【死磕 Spring】----- IOC 之深入理解 Spring IoC

在一開始學習 Spring 的時候，我們就接觸 IoC 了，作為 Spring 第一個最核心的概念，我們在解讀它原始碼之前一定需要對其有深入的認識，本篇為【死磕 Spring】系列部落格的第一篇博文，主要介紹 IoC 基本概念和各個元件。 IOC 理論 Io

springboot使用@ControllerAdvice（二）之深入理解

前言： 介面類專案開發時，為了便於後期查詢問題，一般會攔截器或過濾器中記錄每個介面請求的引數與響應值記錄， 請求引數很容易從request中獲取，但controller的返回值無法從response中獲取，有一個簡單的方法，在controller介面的最後將返回值儲存到request域中，這種方

設計模式之出理解

什麼是設計模式？ 簡單的說，它是一個程式碼設計經驗的一個總結（一種套路），經過反覆的使用，被多數人知曉，不斷的分類而衍生出來。是為人們解決某類重複出現問題的一套成功或有效的解決方案。 為什麼要使用設計模