힙 펭수이 (Heap Feng Shui) — 힙 메모리 레이아웃을 정밀 조작하는 익스플로잇 기법

TL;DR — 힙 펭수이는 비결정적인 힙 할당기 동작을 공격자가 원하는 순서·인접성·재사용 패턴으로 강제하여, UAF/overflow 같은 corruption primitive를 신뢰성 있는 코드 실행으로 전환하는 메타 기법이다. 유저스페이스(Scudo, libmalloc)·커널(SLUB, kalloc) 모두에서 핵심 무기이며, 현대 mitigation(MTE, PAC, freelist randomization, SLAB_VIRTUAL, kalloc_type)을 다루는 연구의 출발점이 된다.

1. 핵심 개념

힙 취약점(UAF, heap overflow, double-free, type confusion 등)을 악용하려면 메모리에서 특정 객체가 특정 위치에 배치되어야 한다. 그러나 일반적인 힙 할당기는 다음 이유로 비결정적이다:

• Freelist 단편화 — 이전 할당/해제 이력에 따라 free chunk 분포가 달라짐
• Thread cache (tcache, per-CPU cache, magazine) — 스레드/CPU별 LIFO 캐시로 인해 같은 크기여도 위치가 갈림
• Randomization mitigation — Scudo의 chunk header XOR, SLUB의 randomized freelist, libmalloc의 nano/scalable zone 무작위화
• Allocator 내부 정책 — 크기 클래스 라운딩, region/slab/zone 경계, large alloc 분기

힙 펭수이는 이 비결정성을 할당/해제 시퀀스로 길들여서(taming) 결정적(deterministic) 상태로 만든다. 이름은 공간 배치의 미학인 풍수(風水)에서 따왔으며, 2007년 Alexander Sotirov가 Black Hat USA에서 발표한 "Heap Feng Shui in JavaScript" 논문에서 처음 명명되었다.

2. 역사와 발전

최근 동향 (2024~2026) — 세 갈래로 압축된다.

1. Page-level feng shui — slab/zone을 넘어, buddy allocator로 반환된 page를 page table(PTE) 로 재활용하는 DirtyPagetable·Dirty Pagedirectory(CVE-2024-1086) 계열이 강력한 최신 경로로 자리 잡았다(임의 PTE 조작 → 물리 메모리 R/W → 커널 패치). 다만 CROSS-X 분석에 따르면 page-level 재활용은 상대적으로 드물고 추가 권한·조건이 필요할 수 있어, 모든 cross-cache의 종착지는 아니다.
2. Cross-cache 일반화 — SLUBStick(성공률 99%+)과 CROSS-X(ACM CCS '25)가 과거 ~40%에 그치던 cross-cache 신뢰성을 실전 수준으로 끌어올렸다.
3. 하드웨어 태깅 군비경쟁 — Apple MIE(2025, iPhone 17/A19)가 EMTE를 커널+70여 유저 프로세스에 상시 적용해 펭수이의 전제인 '조용한 corruption'을 정면으로 노린다. 그러나 같은 해 Mali GPU의 CVE-2025-0072가 MTE를 우회한 사례처럼, 방어는 비용을 올릴 뿐 공방을 종결시키지는 못한다.

3. 동작 원리

전체 흐름은 다음과 같이 7단계로 진행된다.

1. Defragmentation — 빈 hole을 채워 힙을 단정렬화
2. Hole 생성 — 타겟 크기의 free slot을 의도적으로 확보
3. Victim 할당 — 취약 객체를 정확한 위치에 배치
4. Adjacent placement — 공격자 제어 객체를 인접 슬롯에 배치
5. Trigger primitive — UAF / overflow / double-free 트리거
6. Corruption — 메타데이터 / vtable / 함수 포인터 덮어쓰기
7. Arbitrary R/W 또는 RIP control — 임의 읽기/쓰기 또는 코드 흐름 탈취

3.1 핵심 4가지 빌딩 블록

1. Massage(매시지) — 같은 크기 객체를 대량 할당해서 freelist를 비우고 새 슬랩/region/zone을 강제 생성
2. Punch hole — 의도한 위치만 free하여 다음 할당이 그 자리에 들어가도록 유도
3. Pin victim — 취약 객체가 hole에 들어가도록 타이밍·크기를 제어
4. Place attacker chunk adjacent — 인접 슬롯에 공격자 제어 데이터(payload-ready object)를 배치

4. Heap Spraying vs Heap Feng Shui

실전 익스플로잇은 보통 둘을 결합한다 — 펭수이로 corruption을 만든 뒤, 스프레이로 RIP 점프 타겟을 안정화.

5. 플랫폼별 Allocator 비교

5.1 한눈에 보기: Android vs iOS

5.2 Android Scudo (유저스페이스)

Android 11부터 기본 유저스페이스 할당자가 Scudo로 변경되었다.

• Primary allocator: 버전/설정별 size class map을 쓰는 region 기반 (Android 14 기준 WOOT '24 분석은 primary class ID 1~32를 제시 — "정확히 16개"는 버전 의존적). region 내부 freelist는 per-thread cache(TransferBatch)와 슬롯 randomization을 거치므로 단순 LIFO보다 복잡하다.
• Secondary allocator: 큰 할당(기본 64KB↑)은 guard page로 둘러싸인 mmap 영역에 단독 배치.
• Chunk header: global secret/cookie를 포함한 CRC32 기반 checksum으로 header integrity를 검증 — 손상 감지 시 즉시 abort.
• Quarantine: free된 chunk를 잠시 격리해 즉각적 UAF 재사용 차단.
• MTE 통합: 하드웨어 태그가 켜진 기기에서는 tag mismatch 시 SIGSEGV.

WOOT '24 우회 요약

기법 1 — Scudo 내부 캐시 메커니즘을 악용해 chunk를 임의 주소에 가깝게 유도 (이후 패치됨).

기법 2 — Secondary allocator의 대형 chunk 처리 구조를 이용 — 구조적 문제라 패치 난이도가 높음.

5.3 Linux SLUB (Android 커널)

Android 커널은 Linux SLUB을 사용한다.

• 범용 할당은 kmalloc-* 캐시 (8B ~ 8KB, 2의 거듭제곱 + 96B/192B 예외, 최근에는 kmalloc-cg-* 분리).
• 같은 크기 캐시에 할당된 객체끼리만 인접 → 타겟 객체와 같은 크기의 유용한 커널 객체를 찾는 것이 핵심.
• Per-CPU active slab + partial list + node partial 3단계 구조.
• CONFIG_SLAB_FREELIST_HARDENED — freelist 포인터를 ptr XOR random XOR &ptr로 난독화.
• CONFIG_SLAB_FREELIST_RANDOM — slab 내 슬롯 순서 랜덤화 (slab 생성 시점 1회).
• CONFIG_RANDOM_KMALLOC_CACHES — 같은 크기에 대해 16개 사본 캐시 중 hash로 랜덤 선택 (Linux 6.6+ optional — GKI/기기별로 꺼져 있을 수 있음).
• SLAB_VIRTUAL (실험) — slab page를 virtual address 전용 풀로 격리해 cross-cache 재사용 차단.

5.4 iOS libmalloc (유저스페이스)

iOS/macOS의 기본 유저스페이스 할당자.

• Nanozone: 256B 이하 초소형 할당 전용. 16B 단위, magazine(per-CPU) 구조.
• Scalable zone (tiny/small/large):
  • tiny: ≤1KB, 16B 양자화
  • small: ≤15KB(또는 32KB on 16K page), 512B 양자화
  • large: 그 이상, vm_allocate 직접
• Pointer Authentication (arm64e): zone freelist 포인터에 IB key로 PAC 서명. 위조 시 fault.
• Magazine secret / cookie: chunk metadata XOR 보호.
• Guard malloc / libgmalloc: 디버깅용, 모든 할당을 page 단위로 격리 (production 비활성).

5.5 XNU zalloc / kalloc_type (iOS 커널)

iOS 커널 힙은 SLUB과 구조가 다르며, 펭수이 전략도 다르다.

• Zone: 같은 element size + 같은 "용도"의 할당을 모은 free list. kalloc.*, ipc.ports, OSData 등 수백 개의 named zone이 존재.
• kalloc heap 분리 (iOS 14+): KHEAP_DEFAULT, KHEAP_DATA_BUFFERS, KHEAP_KEXT 등 용도별 heap 격리 → 데이터/포인터를 같은 zone에 못 섞음.
• kalloc_type (iOS 15+): 타입 시그니처를 randomized bucket에 배치하는 bucketed type isolation. 같은 bucket에 여러 타입이 섞일 수 있지만, UAF 재할당 후보(같은 슬롯을 노릴 만한 타입)를 크게 줄여 type confusion 익스플로잇을 어렵게 만든다 — 모든 type confusion을 원천 차단하는 것은 아니다.
• Zone require / zone_id check: free 시 zone 일치 여부 검증.
• Zone gc: 비어 있는 page를 회수해 cross-zone reuse를 어렵게 함.
• PPL → SPTM/TXM (A15+): 페이지 테이블 entry 자체를 별도 monitor가 검증해 R/W gadget으로 kernel text 패치 불가.
• Memory Integrity Enforcement (MIE) · Enhanced MTE (A19/M5+, 2025): EMTE를 상시 적용해 메모리 안전 위반을 하드웨어로 즉시 차단 — 펭수이의 전제인 '조용한 corruption'을 깨는 최신 방어.

Android SLUB vs iOS zalloc 한 줄 정리

SLUB은 "같은 size class는 한 풀에 다 들어간다 → 같은 크기 유용 객체 찾기 게임". iOS는 kalloc_type 이후 "같은 크기여도 타입 bucket이 다르면 잘 안 섞인다(randomized bucketing이라 확률적) → 같은 bucket 안에서 무엇이 유용한지 찾는 게임".

6. 유용한 커널/IPC 객체 카탈로그

익스플로잇 신뢰성은 "corruption 시점에 인접 슬롯에 어떤 객체를 둘 수 있는가"로 결정된다.

Android (Linux SLUB)

iOS (XNU zalloc)

7. Cross-cache / Cross-zone 공격

같은 캐시/zone 안에 둘 수 있는 유용한 객체가 없을 때, slab/zone page 자체를 다른 캐시로 재활용시키는 기법.

• Android: kmalloc-cg-* 또는 dedicated cache에 갇힌 victim을 노릴 때, 해당 캐시의 slab page를 모두 free시켜 buddy allocator로 반환되게 한 뒤, 다른 캐시(msg_msg 등)가 그 페이지를 가져오도록 유도.
  • 핵심 도구: pcpu_alloc, kvfree, __free_pages_ok 경합.
  • 방어: SLAB_VIRTUAL, kvmalloc 분리, page tagging.
• iOS: kalloc_type 도입 이후 같은 type만 한 zone을 공유하므로 cross-zone이 더 어렵다. 대신 zone garbage collection으로 page를 다른 zone에 재할당시키는 "zone-level feng shui" 연구가 진행 중.
  • PAC와 SPTM이 추가로 cross-zone fake pointer 공격을 차단.

8. 실전 사례

9. 현대 방어 기제 정리

10. 자동화 / 연구 도구

• Maze (USENIX Security '21) — 심볼릭 실행 기반 자동 힙 배치 합성. 익스플로잇 시나리오 입력 → 할당/해제 시퀀스 출력.
• SLUBStick (USENIX Security '24) — Linux SLUB cross-cache 공격 자동화 프레임워크.
• Syzkaller + KASAN — 트리거 시퀀스 발견 + 힙 상태 추적.
• kasld / kbase finder — KASLR 우회용 정보 누출 자동화.
• iOS 측: KTRR/SPTM bypass research, panic log diffing — 공개 도구가 적어 직접 PoC 작성이 일반적.
• MTE-aware fuzzing (HWASAN, scudo_standalone) — 태그 mismatch를 코너 케이스로 활용.

11. 참고 자료

기초 / 역사

• Heap Feng Shui in JavaScript (Black Hat 2007, Alexander Sotirov)
• Pool Feng Shui — Windows kernel (Chen, 2010)
• Maze: Towards Automated Heap Feng Shui (USENIX Security '21)

Android / Linux SLUB

• Linux kernel heap feng shui in 2022 (duasynt)
• Exploiting Android's Hardened Memory Allocator (WOOT '24)
• Attacking Android Binder: CVE-2023-20938 (Google Android Offensive Security)
• SLUBStick (USENIX Security '24)
• CROSS-X: Generalized and Stable Cross-Cache Attack on the Linux Kernel (ACM CCS '25)
• Flipping Pages — nf_tables CVE-2024-1086 (Dirty Pagedirectory)
• Dirty Pagetable — page-table 기반 커널 익스플로잇 기법
• Bypassing MTE with CVE-2025-0072 (GitHub Security Lab)
• Drammer: Flip Feng Shui Goes Mobile (VUSec)

iOS / XNU

• Attacking the XNU Kernel in El Capitan (Mandt, BH EU 2015)
• iOS kernel heap revisited (Project Zero)
• kalloc_type — Type-aware allocation in XNU (Apple Platform Security Guide)
• Operation Triangulation: CVE-2023-32434 deep dive (Kaspersky SAS '23)
• Memory Integrity Enforcement — Apple의 메모리 안전 전략 (Apple Security, 2025)
• Project Zero — A Walk Through Project Zero Metrics (iOS allocator analysis)