【Houseシリーズ編】House of Force・Spiritでヒープを乗っ取る｜CTF思考フレームワーク #64

こんにちは、アンペンです！

今回はHouseシリーズ──glibcヒープ攻撃の名門技集です。2007年Phrack 67号「Malloc Maleficarum」でPhantasmal Phantasmagoria氏が体系化したのが起源で、その後の研究者が新技を発見するたびに「House of ◯◯」と命名されてきた歴史があります。CTF Heap問題ではこれらの名前が共通語彙として飛び交うので、それぞれの『発想の核』を押さえておくと一気に読みやすくなります。

共通点は『malloc/freeのアルゴリズム仕様の隙を突いて、freeリストや内部メタデータを操る』こと。glibcバージョンごとに使える技が消滅したり新生したりするので、『どの技がどのバージョンで生きているか』のマッピングが実戦の鍵です。

『House of なんとか』がいくつも出てくると、それだけで身構えてしまいますよね。でも安心してください。これらは“流派の名前”のようなものです。剣術に流派があるように、ヒープ攻撃にも『この隙はこう突く』という名のついた型があるだけ。全部を暗記する必要はなく、『どの型が、ヒープのどの部分を狙うのか』という“地図”を持っておけば、CTFの解説を読むときに迷子になりません。

『House of 〇〇』って名前がいっぱいあるけど、関係あるの？

全部『malloc仕様の別々の隙』を突く独立した技。Force=top chunk弄り、Spirit=偽チャンク作成、Lore=small bin改竄、Orange=unsorted bin attack。条件と前提が違うから、問題に応じて使い分けになるよ。

主要House 4種の発想を比べる

それぞれが攻めるglibc構造

• House of Force：ヒープ末尾のtop chunkのsizeフィールドをBoFで0xFFFFFFFFFFFFFFFF等に書き換え→巨大mallocを要求すると『要求量だけtopから切り出して残りを新topにする』処理が攻撃者制御の場所に新topを置く。glibc 2.29で size validate が入り無効化
• House of Spirit：stack上やbss上に偽のチャンクヘッダを仕込み、そのアドレスをfree()するとtcache/fastbinが受け入れる。続くmallocが偽チャンク領域を返す。サイズ整合性の検証を回避できる時に有効
• House of Lore：small binの双方向リスト(bk/fd)を偽造。victim->bk = fake_chunk_addrと書き込みmallocを誘導すると、fake_chunkが返却される。unlinkマクロのチェックを通る形に偽装する必要
• House of Orange：top chunkを使い切るような巨大mallocを誘発するとtopがunsorted binへ送られる。そこでunsorted bin attack(victim->bk = target - 0x10)でtargetにmain_arenaのアドレスを書く。元はFile Stream(_IO_FILE)を狙うHouse of Orange exploitの構成要素
• House of Rust(現代): glibc 2.32+のSafe-Linking対応。tcache poisoningを暗号化されたfdに対応させた最新版。ヒープベースを別経路でリーク後にXOR解除して仕込む

4つを一言で覚えるなら、『どこを攻めるか』で区別するのがコツです。Forceはヒープの“末尾の空き地（top chunk）”、Spiritは“偽の表札（偽チャンク）”、Loreは“住人名簿（双方向リスト）”、Orangeは“大工事のドサクサ（unsorted bin）”。狙う場所がそれぞれ違うから、使える前提条件も違います。問題を見て『今いじれるのはどこか』を考えると、自然と使う型が絞れてきますよ。

glibc進化との追いかけっこ

House技はglibcバージョンに激しく依存します。攻撃者が新技を発見→glibcメンテナが検証チェックを追加→無効化→別の隙が見つかり新技誕生……という追いかけっこが20年続いています。下記が主要な節目。

この“追いかけっこ”、傍から見るとちょっとワクワクします。攻撃者が新しい隙を見つけるたび、glibcの開発者が見張りを足して塞ぎ、するとまた別の隙が見つかる——20年続く知恵比べです。だから実戦では『相手のglibcが何年世代か』を真っ先に確認するのが鉄則。同じ技でも、世代が1つ違うだけで通ったり弾かれたりします。“いつの時代の家か”を知ってから、侵入の流儀を選ぶわけです。

• glibc 2.26(2017): tcache導入。tcache poisoningの時代が始まる
• glibc 2.29(2019): tcache_entry.keyでdouble-free検出+top chunkのsize validate → House of Force殺し
• glibc 2.32(2020): Safe-Linking(fdをheap上位ビットでXOR保護) → tcache/fastbin poisoning難化
• glibc 2.34(2021): __free_hook / __malloc_hook 削除 → 旧攻撃経路封鎖
• 2022〜現代: _IO_2_1_stdout_ / _IO_FILE vtable直接書換、House of Rust等が主流

CTFでやってみよう：how2heapで実機検証

守る側：『新glibc+メモリ安全言語+確率的検出』

House系は『glibcとの追いかけっこ』なんだね…バージョン確認が最初の一手か。

次回は保護機構と回避。Canary・PIE・ASLR・RELROの仕組みと、それぞれの突破口を整理するよ。

まとめ：『glibcバージョン×技のマッピング』が実戦の鍵

今日の持ち帰りは『Houseシリーズは“暗記”ではなく“地図”で捉える』。それぞれが狙うヒープの部位と、効くglibc世代さえ押さえておけば、初見の型でも『ああ、あの場所を別角度から突いているのか』と読み解けます。攻防はバージョンとともに動き続ける——その前提を忘れないことが、いちばんの武器になります。

次回は保護機構と回避編。Canary・PIE・ASLR・RELROの内部と、それぞれの突破口・新世代CET等まで整理します。

次に読みたい記事

参考資料