【PWN · heap | unsorted-bin-attack】hitcontraining_lab14

最新推荐文章于 2024-10-02 12:35:45 发布

原创

最新推荐文章于 2024-10-02 12:35:45 发布 · 938 阅读

17 ·

CC 4.0 BY-SA版权

文章标签：

#ctf #pwn #heap #u-bin-atk #堆溢出

本文详细介绍了如何利用unsorted-bin攻击机制，通过控制bk指针将大数写入堆栈的漏洞，展示了从分配内存、避免合并、修改bk指针到触发任意地址写的过程。作者还给出了实际的C代码示例和exploit脚本，展示了如何在给定的环境中执行攻击并获取flag。

这种堆题竟然如此简单——如果不细扣机理过程

前言

unsorted-bin一般用于利用，有leak libc和往任意地址写一个大数的作用。本题可以说是作为一道模板题，主要阐述了如何实现”往任意地址写一个大数“。

一、unsorted-bin-attack（摘自wiki）

在 glibc/malloc/malloc.c 中的 _int_malloc 有这么一段代码，当将一个 unsorted bin 取出的时候，会将 bck->fd 的位置写入本 Unsorted Bin 的位置。

/* remove from unsorted list */
if (__glibc_unlikely (bck->fd != victim))
    malloc_printerr ("malloc(): corrupted unsorted chunks 3");
unsorted_chunks (av)->bk = bck;
bck->fd = unsorted_chunks (av);

换而言之，如果我们控制了 bk 的值，我们就能将 unsorted_chunks (av) 写到任意地址。

这里我以 shellphish 的 how2heap 仓库中的 unsorted_bin_attack.c 为例进行介绍，这里我做一些简单的修改，如下

#include <stdio.h>
#include <stdlib.h>

int main() {
  fprintf(stderr, "This file demonstrates unsorted bin attack by write a large "
                  "unsigned long