Use After Free

最新推荐文章于 2025-07-01 09:44:33 发布

冷却1987

最新推荐文章于 2025-07-01 09:44:33 发布

阅读量1.1k

点赞数

CC 4.0 BY-SA版权

分类专栏：信息安全文章标签： UAF Use-After-Free 释放后重用

本文链接：https://blog.csdn.net/leng_que/article/details/44457993

信息安全专栏收录该内容

15 篇文章

订阅专栏

本文通过一个简单示例展示了使用-after-free (UAF) 漏洞的基本原理，包括内存释放、恶意修改及利用步骤。UAF漏洞常见于浏览器等复杂软件中，涉及内存管理和程序逻辑控制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

/*
 *  Author: leng_que
 *  Date: 2015-03-19
 *  Description: 简单的演示了UAF漏洞的原理
 */

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(void)
{
    char* buf_use = (char*)malloc(32);
    printf("buf_use's addr = [0x%08X]\n", buf_use);
    strcpy(buf_use, "1");
    printf("You have money %s$.\n", buf_use);
    free(buf_use);
    // free之后，buf_use指向的内存块已经被MMU（内存管理单元）标记为释放状态，即：这块内存是可以被其它地方再次分配到的。

    printf("\n\n");

    // 在这里，buf_new的地址有很大概率是与之前的buf_use是相同的。
    // 因为这里要分配一个同样大小的内存块，MMU理所当然的应该把刚刚之前释放掉的那个内存块拿出来。
    // 当然，这个在本质上是要取决于MMU的实现。
    char* buf_new = (char*)malloc(32);
    printf("buf_new's addr = [0x%08X]\n", buf_new);
    strcpy(buf_new, "999"); // 修改其中的内容

    printf("You have money %s$.\n", buf_use); // 在此处对于buf_use这个指针的使用，即：Use-After-Free（释放后重用）

    getchar();
    return 0;
}

我的编译运行环境：Windows7 64位 + Code::Blocks v13.12

结果输出：
buf_use's addr = [0x00032F98]
You have money 1$.


buf_new's addr = [0x00032F98]
You have money 999$.

说明：

可以看到，上面那个例子就是通过UAF漏洞把金钱数值给改了。
通常在网页浏览器上这类漏洞特别多，例如：IE，这是因为浏览器涉及到各种描述语言或脚本语言的解析，这其中就会有很多对象的产生与销毁，即：内存的分配与释放，同时那么多的对象的产生、销毁与使用，这其中的关系是极其错综复杂的，你很难知道你所使用的内存块是否已经被释放后又重新分配并且被恶意篡改了的，因此出现了很多UAF漏洞。
这种漏洞在本质上就是控制内存中的某个或某些值，从而改变程序原本的逻辑。

其主要的利用步骤是：

1、显式的触发对某块内存的释放。2、申请分配到那块之前被释放了的内存，并视具体情况更改其中的内容。3、触发UAF部分。

当然，在真实的场景下，其利用过程是非常复杂的，这其中还涉及到要绕过各种保护机制等等内容，而且“申请分配到那块之前被释放了的内存”也不总是那么容易实现的，但总还是有各种技巧的，例如：HeapSpray（堆喷射技术）就是其中的一种。再者其中第2步中所更改的内容主要取决于第3步中是如何使用这块内存的，比如如果仅仅只是用来显示，那么你所更改的内容只是影响了显示而已，但如果是用来执行指令的话，那你就能控制程序的运行逻辑了。

更多参考：
http://sebug.net/paper/books/vulncat/cpp/use_after_free.html
http://security.stackexchange.com/questions/20371/from-a-technical-standpoint-how-does-the-zero-day-internet-explorer-vulnerabili