![Use After Freeって?
???
???
0x084b018
???
???
1
ヒープに領域確保
ポインタ型保存
2
???
???
0x084b018
???
???
領域解放
3
???
???
0x084b018
???
???
新たに領域確保
4
???
???
0x41414141
???
???
領域に任意アドレス
の書込
char *a
5
???
???
0x41414141
???
???
ポインタ型を呼出
任意アドレスへ
read/write
char *a
新規領域位置は
一意
strcpy(a, argv[1])があれば
任意アドレス書込など](https://image.slidesharecdn.com/uaf-160423052944/85/Use-After-Free-9-320.jpg)
![今回のプログラム
領域確保
領域解放
新規領域確保
新規領域書込
UseAfterFree
書き換えターゲット
argv[2] 領域位置調整用
argv[3] 書きこみたいアドレス
argv[4] 書き込む内容
DEP,SSP有効でコンパイル（デフォルト）
ASLR無効環境で実行](https://image.slidesharecdn.com/uaf-160423052944/85/Use-After-Free-12-320.jpg)
![シェル起動
printfのGOT領域 system関数アドレス
argv[3] 書きこみたいアドレス = printf GOT領域
argv[4] 書き込む内容 = systemアドレス
シェル起動成功](https://image.slidesharecdn.com/uaf-160423052944/85/Use-After-Free-15-320.jpg)
Use After Free 脆弱性攻撃を試す
- 2. 自己紹介のようなもの ● @monochrojazz(27) ● セキュリティに興味 が、初心者 ● 致命的な音ゲーマー 音ゲーコントローラを 自作 アプリも自作(Android)
- 3. 前回
- 5. しかし
- 7. (; ^ω^)
- 9. Use After Freeって? ??? ??? 0x084b018 ??? ??? 1 ヒープに領域確保 ポインタ型保存 2 ??? ??? 0x084b018 ??? ??? 領域解放 3 ??? ??? 0x084b018 ??? ??? 新たに領域確保 4 ??? ??? 0x41414141 ??? ??? 領域に任意アドレス の書込 char *a 5 ??? ??? 0x41414141 ??? ??? ポインタ型を呼出 任意アドレスへ read/write char *a 新規領域位置は 一意 strcpy(a, argv[1])があれば 任意アドレス書込など
- 12. 今回のプログラム 領域確保 領域解放 新規領域確保 新規領域書込 UseAfterFree 書き換えターゲット argv[2] 領域位置調整用 argv[3] 書きこみたいアドレス argv[4] 書き込む内容 DEP,SSP有効でコンパイル（デフォルト） ASLR無効環境で実行
- 14. GOT Overwrite printf → systemに書き換え GOT Overwriteの利用 printfのGOT領域 このアドレスの先（printfの実体）の書き換え printf 実行時に書き換えたアドレスに飛ぶ = systemのアドレスに飛ばせる systemのアドレスはgdb-pedaや nm -D /lib/i386-linux-gnu/libc.so.6 | grep " system" などで調査
- 15. シェル起動 printfのGOT領域 system関数アドレス argv[3] 書きこみたいアドレス = printf GOT領域 argv[4] 書き込む内容 = systemアドレス シェル起動成功