Glibc-2.23 源码分析——malloc部分下-安全客

前言

终于抽出时间对glibc动态内存管理部分源码进行初略的探究，试着从源码和动调来分析free函数执行过程和一些pwn的攻击技巧，分析的不是很全面，有错误的地方望提出指正，共同进步。ps:欢迎白帽子们关注涂鸦智能安全响应中心

Malloc的执行流程

情况3：申请mmap

测试代码

#include <stdio.h>
#include <stdlib.h>

int main()
{
    malloc(0x20);
    malloc(0x24000);
    return 0;
}

申请的size 大于 av->top

执行调用链: Malloc -> int_malloc -> sysmalloc

Nb = 0x24010 > mp.mmapthreshold 且 (mp.nmmaps < mp.n_mmaps_max，满足条件进入mmap()的调用。

计算出满足页对齐的size后调用 MMAP()

申请的size大小为 0x24030 满足页对齐的size是 0x25000

执行后申请到的mmap 空间

之后对mmap 空间写入 size头,并在标志位上打上 Mmap标志 0x2

执行效果

calloc执行流程

测试代码

#include<stdio.h>
#include<stdlib.h>

int main(){
    int *p1 = calloc(0x20, 1);
    int *p2 = calloc(0x20, 1);
    free(p1);
    calloc(0x20, 1);
    return 0;
}

堆初始化执行流程

libc_calloc() -> _int_malloc(),和libc_malloc()一样的堆初始化流程,之后通过malloc_hook跳转 malloc_hook_ini(),与malloc()的区别在于会将申请的堆空间全部置零。

之后有关main_arena取chunk的申请也是通过int_malloc(),最后都会置空堆空间

整体上看calloc是一个malloc的调用接口,输出前加上了置空堆空间

realloc执行流程

测试代码

#include<stdio.h>
#include<stdlib.h>

int main(){
    int *p1 = malloc(0x10);
    int *p2 = malloc(0x10);
    int *p_realloc = realloc(p1, 0x30);
    return 0;
}

realloc调用流程 realloc->realloc_hook_ini(通过realloc_hook跳转)