【Writeup】Pwnable.kr 0x10 uaf

0x10 uaf

题目描述

Mommy, what is Use After Free bug?

ssh [email protected] -p2222 (pw:guest)

题目代码

#include 
#include  
#include 
#include 
#include 
using namespace std;

class Human{
private:
    virtual void give_shell(){
        system("/bin/sh");
    }
protected:
    int age;
    string name;
public:
    virtual void introduce(){
        cout << "My name is " << name << endl;
        cout << "I am " << age << " years old" << endl;
    }
};

class Man: public Human{
public:
    Man(string name, int age){
        this->name = name;
        this->age = age;
        }
        virtual void introduce(){
        Human::introduce();
                cout << "I am a nice guy!" << endl;
        }
};

class Woman: public Human{
public:
        Woman(string name, int age){
                this->name = name;
                this->age = age;
        }
        virtual void introduce(){
                Human::introduce();
                cout << "I am a cute girl!" << endl;
        }
};

int main(int argc, char* argv[]){
    Human* m = new Man("Jack", 25);
    Human* w = new Woman("Jill", 21);

    size_t len;
    char* data;
    unsigned int op;
    while(1){
        cout << "1. use\n2. after\n3. free\n";
        cin >> op;

        switch(op){
            case 1:
                m->introduce();
                w->introduce();
                break;
            case 2:
                len = atoi(argv[1]);
                data = new char[len];
                read(open(argv[2], O_RDONLY), data, len);
                cout << "your data is allocated" << endl;
                break;
            case 3:
                delete m;
                delete w;
                break;
            default:
                break;
        }
    }

    return 0;   
}

题目分析

这道题考察的是uaf，即use after free。这个漏洞就是在分配堆后，使用结束后free掉的时候没有指向null，并放回空闲链表。当重新申请一块小于64字节大小的空间时，cpu会直接从空闲链表中划分空间，使得这次用到的地址跟刚才free掉的地址一模一样，那么我们就可以访问原来的内存空间。这道题有c++的虚表继承，做题之前需要了解虚表继承。

虚表继承

当类中存在虚函数时，会创建一个虚表vtable，同时会有一个虚指针指向对应的地址。当子类继承父类时，如果有虚函数，那么子类的vtable会有父类所有项，并且当子类存在同名虚函数时，会修改vtable表项，指向自己的函数的地址。如果父类有私有函数，但是这个私有函数是虚函数，那么子类的vtable中同样会有这个函数的表项。每个虚表只有一个vptr，就算有多个虚函数也一样。但是当多重继承的时候，就会有多个vptr。

题目分析（续）

这里我们可以先执行第三步，释放空间，然后执行第二步的时候将精心构造的数据写入data中，那么当用第一步的时候就会使用我们精心构造的数据了。当我们使用use的时候，会调用m->introduce()，进而调用Human::introduce()，这是一个虚函数，会从虚表中找到introduce()函数的地址，然后进行寻址，那么我们可以将introduce()的地址改成giveshell()的地址，这样当我们使用use的时候，就可以给getshell了。那么如何修改呢？首先，在Human类中，giveshell()函数在introduce()函数的上面，那么在虚表中，introduce在giveshell的后面，相差8字节(64位)。因为在虚表中，最开始的部位是虚表的指针，也就是虚标的地址，虚表的第一项是giveshell，第二项是introduce，当想要调用introduce的时候，指针就要通过一个+8的操作。那么我们如果实现将指针减8，那么当调用introduce的时候加8，那么结果就是+0，即没有偏移，那就是giveshell的地址，刚好完成了我们的要求。ida中.rodata区段是存放虚表的地方，这里直接找到giveshell的地址就是虚表的地址即0x401570

这样0x401570减8得0x401568就是我们要填充的东西。
那么还有一个问题，我们需要填充多少字节？通过学习，我知道当类中有虚函数的时候，会产生虚函数指针，有多少个虚函数，也只有一个虚函数指针，并且该指针占4个字节，int age占4字节，string name占16字节，加起来24个字节。那么我们要读取的就是24字节。

解题步骤

最后payload写法如下：

python -c 'print "\x68\x15\x40\x00\x00\x00\x00\x00" ' > /tmp/uaf
./uaf 24 /tmp/uaf
3 2 2 1