当前位置： 首页 > news >正文

House of apple2手法及部分源码解析

news 2026/6/29 9:29:04

在2.34移除了hook函数之后，堆利用就少了一个大的攻击方向了。而House of apple这个手法就给我们提供了新的攻击方向：IOFILE结构体。虽然在house of orange就有所利用，之后也有一些利用了相关结构体的手法，但都没有House of apple条件简单。

House of apple由roderick01师傅提出，至今仍可使用，原文链接如下House of apple 一种新的glibc中IO攻击方法 (2)

House of apple仅需要泄露libc和堆地址及一次largebin attack即可完成攻击，House of apple有三种利用方式，我目前就讲讲House of apple2。而House of apple2主要利用就是通过largebin attack攻击_IO_list_all把一个堆块伪造成IOFILE结构体，通过在堆块进行IOFILE结构体进行布局，因为 _wide_vtable没有检测虚表的地址范围。伪造虚表 _wide_vtable，当系统调用其中的虚表函数时，我们就可以劫持程序控制流。

利用原理及源码

House of apple2主要利用链原作者给出了三条，我就以第一条为例了，剩下的各位感兴趣可以看看原文。我们知道当我们程序从main函数返回或者exit的时候程序会刷新IO流，主要是通过_IO_flush_all这个函数实现的，相关源码如下：

int
_IO_flush_all (void)
{
int result = 0;
FILE *fp;
#ifdef _IO_MTSAFE_IO
_IO_cleanup_region_start_noarg (flush_cleanup);
_IO_lock_lock (list_all_lock);
#endif
for (fp = (FILE *) _IO_list_all; fp != NULL; fp = fp->_chain)
{
run_fp = fp;
_IO_flockfile (fp);
if (((fp->_mode <= 0 && fp->_IO_write_ptr > fp->_IO_write_base)
|| (_IO_vtable_offset (fp) == 0
&& fp->_mode > 0 && (fp->_wide_data->_IO_write_ptr
> fp->_wide_data->_IO_write_base))
)
&& _IO_OVERFLOW (fp, EOF) == EOF)#主要利用在_IO_OVERFLOW这个函数后面
result = EOF;
_IO_funlockfile (fp);
run_fp = NULL;
}
#ifdef _IO_MTSAFE_IO
_IO_lock_unlock (list_all_lock);
_IO_cleanup_region_end (0);
#endif
return result;
}

可以看见他需要满足一些条件

((fp->_mode <= 0 && fp->_IO_write_ptr > fp->_IO_write_base)
|| (_IO_vtable_offset (fp) == 0
&& fp->_mode > 0 && (fp->_wide_data->_IO_write_ptr
> fp->_wide_data->_IO_write_base)

满足| |左右两边其中一边即可然后他就会调用_IO_OVERFLOW，其本质是一个宏

#define _IO_OVERFLOW(FP, CH) JUMP1 (__overflow, FP, CH)
就是这样fp-> __vtable-> __overflow(fp, ch)
因为__overflow距vtable的偏移是0x18，也就是会调用vtable+0x18的函数

也就是此时会进行虚表函数调用，所以如果我们虚表改成_IO_wfile_jumps就会调用 _IO_wfile_jumps这个虚表内的函数，我要讲的第一条链就是利用他调用 _IO_wfile_overflow这个函数，不过首先得先讲讲

_wide_data的结构如下

struct _IO_wide_data
{
wchar_t *_IO_read_ptr; /* Current read pointer */
wchar_t *_IO_read_end; /* End of get area. */
wchar_t *_IO_read_base; /* Start of putback+get area. */
wchar_t *_IO_write_base; /* Start of put area. */
wchar_t *_IO_write_ptr; /* Current put pointer. */
wchar_t *_IO_write_end; /* End of put area. */
wchar_t *_IO_buf_base; /* Start of reserve area. */
wchar_t *_IO_buf_end; /* End of reserve area. */
/* The following fields are used to support backing up and undo. */
wchar_t *_IO_save_base; /* Pointer to start of non-current get area. */
wchar_t *_IO_backup_base; /* Pointer to first valid character of
backup area */
wchar_t *_IO_save_end; /* Pointer to end of non-current get area. */
__mbstate_t _IO_state;
__mbstate_t _IO_last_state;
struct _IO_codecvt _codecvt;
wchar_t _shortbuf[1];
const struct _IO_jump_t *_wide_vtable;
};

可以看见跟IOFILE结构体是非常像的，要注意的就是其虚表偏移是0xe0

_IO_wfile_overflow的函数内容如下

wint_t
_IO_wfile_overflow (FILE *f, wint_t wch)
{
if (f->_flags & _IO_NO_WRITES) /* SET ERROR */
{
f->_flags |= _IO_ERR_SEEN;
__set_errno (EBADF);
return WEOF;
}
/* If currently reading or no buffer allocated. */
if ((f->_flags & _IO_CURRENTLY_PUTTING) == 0
|| f->_wide_data->_IO_write_base == NULL)
{
/* Allocate a buffer if needed. */
if (f->_wide_data->_IO_write_base == 0)
{
_IO_wdoallocbuf (f);
_IO_free_wbackup_area (f);
_IO_wsetg (f, f->_wide_data->_IO_buf_base,
f->_wide_data->_IO_buf_base, f->_wide_data->_IO_buf_base);
if (f->_IO_write_base == NULL)
{
_IO_doallocbuf (f);
_IO_setg (f, f->_IO_buf_base, f->_IO_buf_base, f->_IO_buf_base);
}
}
else
{
/* Otherwise must be currently reading. If _IO_read_ptr
(and hence also _IO_read_end) is at the buffer end,
logically slide the buffer forwards one block (by setting
the read pointers to all point at the beginning of the
block). This makes room for subsequent output.
Otherwise, set the read pointers to _IO_read_end (leaving
that alone, so it can continue to correspond to the
external position). */
if (f->_wide_data->_IO_read_ptr == f->_wide_data->_IO_buf_end)
{
f->_IO_read_end = f->_IO_read_ptr = f->_IO_buf_base;
f->_wide_data->_IO_read_end = f->_wide_data->_IO_read_ptr =
f->_wide_data->_IO_buf_base;
}
}
f->_wide_data->_IO_write_ptr = f->_wide_data->_IO_read_ptr;
f->_wide_data->_IO_write_base = f->_wide_data->_IO_write_ptr;
f->_wide_data->_IO_write_end = f->_wide_data->_IO_buf_end;
f->_wide_data->_IO_read_base = f->_wide_data->_IO_read_ptr =
f->_wide_data->_IO_read_end;
f->_IO_write_ptr = f->_IO_read_ptr;
f->_IO_write_base = f->_IO_write_ptr;
f->_IO_write_end = f->_IO_buf_end;
f->_IO_read_base = f->_IO_read_ptr = f->_IO_read_end;
f->_flags |= _IO_CURRENTLY_PUTTING;
if (f->_flags & (_IO_LINE_BUF | _IO_UNBUFFERED))
f->_wide_data->_IO_write_end = f->_wide_data->_IO_write_ptr;
}
if (wch == WEOF)
return _IO_do_flush (f);
if (f->_wide_data->_IO_write_ptr == f->_wide_data->_IO_buf_end)
/* Buffer is really full */
if (_IO_do_flush (f) == EOF)
return WEOF;
*f->_wide_data->_IO_write_ptr++ = wch;
if ((f->_flags & _IO_UNBUFFERED)
|| ((f->_flags & _IO_LINE_BUF) && wch == L'\n'))
if (_IO_do_flush (f) == EOF)
return WEOF;
return wch;
}

在House of apple2中我们主要关注else上面的部分

wint_t
_IO_wfile_overflow (FILE *f, wint_t wch)
{
if (f->_flags & _IO_NO_WRITES) /* SET ERROR */
{
f->_flags |= _IO_ERR_SEEN;
__set_errno (EBADF);
return WEOF;
}
/* If currently reading or no buffer allocated. */
if ((f->_flags & _IO_CURRENTLY_PUTTING) == 0
|| f->_wide_data->_IO_write_base == NULL)
{
/* Allocate a buffer if needed. */
if (f->_wide_data->_IO_write_base == 0)
{
_IO_wdoallocbuf (f);
_IO_free_wbackup_area (f);
_IO_wsetg (f, f->_wide_data->_IO_buf_base,
f->_wide_data->_IO_buf_base, f->_wide_data->_IO_buf_base);
if (f->_IO_write_base == NULL)
{
_IO_doallocbuf (f);
_IO_setg (f, f->_IO_buf_base, f->_IO_buf_base, f->_IO_buf_base);
}
}

我们的目标是调用_IO_wdoallocbuf

首先肯定是不能满足f->_flags & _IO_NO_WRITES即flag&0x8==0其次要满足(f-> _flags & _IO_CURRENTLY_PUTTING) == 0
|| f-> _wide_data-> _IO_write_base == NULL即 _wide_data+0x20要等于0，flags &0x800

void
_IO_wdoallocbuf (FILE *fp)
{
if (fp->_wide_data->_IO_buf_base)
return;
if (!(fp->_flags & _IO_UNBUFFERED))
if ((wint_t)_IO_WDOALLOCATE (fp) != WEOF)// _IO_WXXXX调用
return;
_IO_wsetb (fp, fp->_wide_data->_shortbuf,
fp->_wide_data->_shortbuf + 1, 0);
}
libc_hidden_def (_IO_wdoallocbuf)

这里我们要走到 _IO_WDOALLOCATE这里，所以fp-> _wide_data-> _IO_buf_base==0即 _wide_data+0x30要为0

fp->_flags & _IO_UNBUFFERED要不成立，所以flag&2要为0，然后就会调用 _IO_WDOALLOCATE

_IO_WDOALLOCATE是虚表函数，虚表没有变化都是
const struct _IO_jump_t _IO_wstrn_jumps attribute_hidden =
{
JUMP_INIT_DUMMY,
JUMP_INIT(finish, _IO_wstr_finish),
JUMP_INIT(overflow, (_IO_overflow_t) _IO_wstrn_overflow),
JUMP_INIT(underflow, (_IO_underflow_t) _IO_wstr_underflow),
JUMP_INIT(uflow, (_IO_underflow_t) _IO_wdefault_uflow),
JUMP_INIT(pbackfail, (_IO_pbackfail_t) _IO_wstr_pbackfail),
JUMP_INIT(xsputn, _IO_wdefault_xsputn),
JUMP_INIT(xsgetn, _IO_wdefault_xsgetn),
JUMP_INIT(seekoff, _IO_wstr_seekoff),
JUMP_INIT(seekpos, _IO_default_seekpos),
JUMP_INIT(setbuf, _IO_default_setbuf),
JUMP_INIT(sync, _IO_default_sync),
JUMP_INIT(doallocate, _IO_wdefault_doallocate),
JUMP_INIT(read, _IO_default_read),
JUMP_INIT(write, _IO_default_write),
JUMP_INIT(seek, _IO_default_seek),
JUMP_INIT(close, _IO_default_close),
JUMP_INIT(stat, _IO_default_stat),
JUMP_INIT(showmanyc, _IO_default_showmanyc),
JUMP_INIT(imbue, _IO_default_imbue)
};#每个指针的间隔在64位下是0x8
_IO_WDOALLOCATE距虚表偏移是0x68所以我们在伪造的虚表地址+0x68的地方填上我们想让他调用的函数即可，其第一个参数IOFILE结构体的是flags字段的地址

总结

综上house of apple2的第一条链就完成了，这里借用一下原文的总结，调用链如下

exit
fcloseall
_IO_cleanup
_IO_flush_all_lockp
_IO_OVERFLOW
_IO_wfile_overflow
_IO_wdoallocbuf
_IO_WDOALLOCATE
*(fp->_wide_data->_wide_vtable + 0x68)(fp)

对fp的设置如下：

  • _flags设置为~(2 | 0x8 | 0x800)，如果不需要控制rdi，设置为0即可；如果需要获得shell，可设置为 sh;，注意前面有两个空格
  • vtable设置为_IO_wfile_jumps/_IO_wfile_jumps_mmap/_IO_wfile_jumps_maybe_mmap地址（加减偏移），使其能成功调用_IO_wfile_overflow即可
  • _wide_data设置为可控堆地址A，即满足*(fp + 0xa0) = A
  • _wide_data->_IO_write_base设置为0，即满足*(A + 0x18) = 0
  • _wide_data->_IO_buf_base设置为0，即满足*(A + 0x30) = 0
  • _wide_data->_wide_vtable设置为可控堆地址B，即满足*(A + 0xe0) = B
  • _wide_data->_wide_vtable->doallocate设置为地址C用于劫持RIP，即满足*(B + 0x68) = C

并且为了调用_IO_OVERFLOW需要设置同时还要满足以下条件||左边/右边的一种。

((fp->_mode <= 0 && fp->_IO_write_ptr > fp->_IO_write_base)
|| (_IO_vtable_offset (fp) == 0
&& fp->_mode > 0 && (fp->_wide_data->_IO_write_ptr
> fp->_wide_data->_IO_write_base)
星途杯——便签

详细题目解析可以看第二届“星途杯”网络安全竞赛pwn全解及第一道ai的wp - firefly_star - 博客园，简单来说就是有UAF，free仅清空use标志不能edit。攻击思路就是先泄露libc和堆地址，然后利用tcache往stdout上分配堆块，这题其实我们打到stdout就可以getshell了，因为stdout他本身就是IO流，所以最后刷新IO流的时候就会刷新到他，只要我们伪造好相关的IOFILE结构即可。这里其实wide_data可以指向他本身，这样可以少布局一个结构。exp如下：

#!/usr/bin/env python3
from pwn import *
import sys
from ctypes import *
from pwncli import *
import socks
# cli_script()
#from ae64 import AE64
#from pymao import *
context.log_level='debug'
context.arch='amd64'
libc = ELF('./libc.so.6')
# libc1=cdll.LoadLibrary('./libc.so.6')
li='./libc.so.6'
'''
socks.set_default_proxy(
socks.SOCKS5,
"81.dart.ccsssc.com",
25790,
username="1nkvap1o",
password="cl330rd",
rdns=True
http://www.jsqmd.com/news/1088691/

相关文章：

  • 如何用League Akari免费工具包5分钟提升英雄联盟游戏体验
  • 550+免费RPG Maker插件：打造专业级游戏开发的终极解决方案
  • RA8D2 GPTP定时器脉冲输出与USBFS模块配置实战解析
  • 从“笑脸”到“后门”：VSFTPD 2.3.4漏洞的攻防实战与深度解析
  • 软考证书求职竞争力破局公式（PMP×软考×行业认证×场景化表达），限前500名领取工信部推荐能力映射表
  • 5分钟终极指南：ncmdump助你快速解锁网易云音乐NCM加密文件
  • 如何在3分钟内免费将Chrome变成专业Markdown阅读器？终极简单配置指南
  • ESP8266+Blinker：从零打造你的首个物联网智能灯
  • 联想笔记本控制工具：如何用开源方案彻底取代官方臃肿软件？
  • 量子机器学习在湍流建模中的突破与应用
  • 网络编程3.5：从状态时序图到实战调优
  • codex ai剪辑教程：2026年剪辑自动化，5款深度对比
  • N_m3u8DL-RE：跨平台流媒体下载解决方案的技术实现与应用
  • Noto字体：如何用一套字体解决全球文字显示问题？
  • 从零驱动1.3寸TFT：基于STM32的SPI屏显实战笔记
  • 软考备考路径选择终极拆解（20年命题组成员内部复盘笔记）：3类人群必须报班，2类人自学稳过——你属于哪一类？
  • FOC——SVPWM：从理论到代码实现的工程化解析
  • RA8D1中断控制器(ICU)实战：从架构解析到低功耗唤醒配置
  • SQLmap 2025实战指南：从注入检测到数据提取的完整流程
  • 球坐标系数值模拟与Kerr-Schild坐标系下的电磁场离散化
  • ArcGIS实战：从零绘制专业中国地图（附完整数据与步骤）
  • 大模型MoE架构揭秘：为何98%参数休眠却性能更强
  • 精准捕获DC/DC电源纹波：从原理到实战的测量指南
  • Xilinx Platform Cable USB II 驱动安装疑难解析——从设备识别到ISE链初始化
  • VLC鼠标点击暂停插件：解放双手的终极视频控制方案
  • Tree-GRPO：面向AI Agent的分层策略蒸馏与梯度路由优化框架
  • 从零构建：基于移远展锐5G模组的嵌入式Linux应用开发实战
  • 3步解锁：让Blender成为专业3D打印工作流的核心枢纽
  • 5个关键步骤：让Blender完美支持3MF格式的完整指南
  • SBL(Flash驱动程序)在Bootloader中的三种部署策略与实战解析