掃二維碼與項目經理溝通
我們在微信上24小時期待你的聲音
解答本文疑問/技術咨詢/運營咨詢/技術建議/互聯(lián)網交流
既然你正在看這篇文章，那么你就應該知道m(xù)alloc函數(shù)是通過syscall調用從操作系統(tǒng)獲取內存的。 如下圖所示，malloc是通過調用brk或mmap這兩種syscall之一來獲取內存的。
創(chuàng)新互聯(lián)公司基于成都重慶香港及美國等地區(qū)分布式IDC機房數(shù)據(jù)中心構建的電信大帶寬，聯(lián)通大帶寬，移動大帶寬，多線BGP大帶寬租用,是為眾多客戶提供專業(yè)服務器托管報價，主機托管價格性價比高，為金融證券行業(yè)西信服務器托管，ai人工智能服務器托管提供bgp線路100M獨享，G口帶寬及機柜租用的專業(yè)成都idc公司。
1.brk方式
brk：brk是通過增設程序斷點來從內核獲取內存(非清零)的。最初堆段的起點(start_brk)和堆段終點(brk)是指向相同的位置的。當ASLR關閉時，start_brk和brk將指向data/bss段(end_data)的末尾。當ASLR打開時，start_brk和brk的值將等于data/bss段(end_data)的結尾加上一個隨機的brk偏移。
正如上面的“進程虛擬內存布局”圖展示的，start_brk是堆段的開始，brk(程序中斷)是堆段的結尾。
例程如下：
- /* sbrk and brk example */
- #include
- #include
- #include
- int main()
- {
- void *curr_brk, *tmp_brk = NULL;
- printf("Welcome to sbrk example:%d\n", getpid());
- /* sbrk(0)返回此進程的斷點位置*/
- tmp_brk = curr_brk = sbrk(0);
- printf("Program Break Location1:%p\n", curr_brk);
- getchar();
- /* brk（addr）遞增/遞減程序的斷點位置*/
- brk(curr_brk+4096);
- curr_brk = sbrk(0);
- printf("Program break Location2:%p\n", curr_brk);
- getchar();
- brk(tmp_brk);
- curr_brk = sbrk(0);
- printf("Program Break Location3:%p\n", curr_brk);
- getchar();
- return 0;
- }
輸出分析：在增設程序中斷之前，通過下面的輸出，我們可以看到并沒有堆段。
因此：? start_brk = brk = end_data = 0x804b000
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ ./sbrk
- Welcome to sbrk example:6141
- Program Break Location1:0x804b000
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ cat /proc/6141/maps
- ...
- 0804a000-0804b000 rw-p 00001000 08:01 539624 /home/sploitfun/ptmalloc.ppt/syscalls/sbrk
- b7e21000-b7e22000 rw-p 00000000 00:00 0
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$
在增設了程序斷點后：在下面的輸出我們可以觀察到有堆段。
因此：? start_brk = end_data = 0x804b000? brk = 0x804c000
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ ./sbrk
- Welcome to sbrk example:6141
- Program Break Location1:0x804b000
- Program Break Location2:0x804c000
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ cat /proc/6141/maps
- ...
- 0804a000-0804b000 rw-p 00001000 08:01 539624 /home/sploitfun/ptmalloc.ppt/syscalls/sbrk
- 0804b000-0804c000 rw-p 00000000 00:00 0 [heap]
- b7e21000-b7e22000 rw-p 00000000 00:00 0
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$
其中0804b000-0804c000是此堆段的虛擬地址范圍
rw-p是Flags(可讀，可寫，不可執(zhí)行，私有)
00000000是文件偏移 – 由于不存在文件映射，所以這里為零
00:00是主要/次要設備號 – 由于不存在文件映射，所以這里為零
0是Inode編號 – 由于不存在文件映射，所以這里為零
[heap]表示是堆段
2.mmap方式
mmap：malloc使用mmap去創(chuàng)建一個私有的匿名映射段。映射這個私有匿名段的主要目的是為了分配新的內存(已清零)，并且這個新的內存將被調用進程獨占使用。
例程：
- /* Private anonymous mapping example using mmap syscall */
- #include
- #include
- #include
- #include
- #include
- #include
- #include
- void static inline errExit(const char* msg)
- {
- printf("%s failed. Exiting the process\n", msg);
- exit(-1);
- }
- int main()
- {
- int ret = -1;
- printf("Welcome to private anonymous mapping example::PID:%d\n", getpid());
- printf("Before mmap\n");
- getchar();
- char* addr = NULL;
- addr = mmap(NULL, (size_t)132*1024, PROT_READ|PROT_WRITE, MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);
- if (addr == MAP_FAILED)
- errExit("mmap");
- printf("After mmap\n");
- getchar();
- /* Unmap mapped region. */
- ret = munmap(addr, (size_t)132*1024);
- if(ret == -1)
- errExit("munmap");
- printf("After munmap\n");
- getchar();
- return 0;
- }
輸出分析：
mmap調用前：在下面的輸出中，我們只能看到屬于共享庫libc.so和ld-linux.so的內存映射段
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ cat /proc/6067/maps
- 08048000-08049000 r-xp 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 08049000-0804a000 r--p 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 0804a000-0804b000 rw-p 00001000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- b7e21000-b7e22000 rw-p 00000000 00:00 0
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$
mmap調用后：在下面的輸出中，我們可以看到我們的內存映射段(b7e00000 – b7e21000，大小為132KB)與已映射的內存映射段(b7e21000 – b7e22000)拼接在一起了。
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ cat /proc/6067/maps
- 08048000-08049000 r-xp 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 08049000-0804a000 r--p 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 0804a000-0804b000 rw-p 00001000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- b7e00000-b7e22000 rw-p 00000000 00:00 0
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$
其中b7e00000-b7e22000是此段的虛擬地址范圍
rw-p是Flags(可讀，可寫，不可執(zhí)行，私有)
00000000是文件偏移 – 由于不存在文件映射，所以這里為零
00:00是主要/次要設備號 – 由于不存在文件映射，所以這里為零
0是Inode編號 – 由于不存在文件映射，所以這里為零
munmap調用后：在下面的輸出中，我們可以看到我們的內存映射段是未映射的，就是說其相應的內存已經釋放到操作系統(tǒng)了。
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$ cat /proc/6067/maps
- 08048000-08049000 r-xp 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 08049000-0804a000 r--p 00000000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- 0804a000-0804b000 rw-p 00001000 08:01 539691 /home/sploitfun/ptmalloc.ppt/syscalls/mmap
- b7e21000-b7e22000 rw-p 00000000 00:00 0
- ...
- sploitfun@sploitfun-VirtualBox:~/ptmalloc.ppt/syscalls$
注意：在我們的示例程序中ASLR是關閉的。
我們在微信上24小時期待你的聲音
解答本文疑問/技術咨詢/運營咨詢/技術建議/互聯(lián)網交流
微信二維碼
移動版官網