house-of-spirit-pwn200

前言 : 因为期末考试加上复习的原因,接近一个月没有做pwn题了,放寒假就回来在物理机上面装了个ubuntu(折腾了几天,不过装好了做题环境还是挺好用的),打算这个寒假学习完堆知识.来年好好上课(大三压力大!)有空打打比赛.

例题 : lctf2016_pwn200

house-of-spirit

利用条件:

（1）想要控制的目标区域的上方空间与下方空间都是可控的内存区域

（2）存在可将堆变量指针覆盖指向为上方可控空间,从而达到将非可控空间与可控空间进行合并变成fake_chunk(有点像unlink)

（3）释放堆块，将伪造的堆块释放入fastbin的单链表里面,重新拿出获得该块空间控制权

（4）更改之前非可控空间的数据,达到劫持程序执行流(getshell)

利用场景:

伪函数分析:

本题利用思路:

1. 通过"who are u" 写入shellcode,并泄漏rbp地址
2. 通过"me your id ~ "布局fake chunk的next chunk的size绕过检查
3. 通过"give me money ~"布局fake chunk的size以便伪造free chunk,并修改全局堆指针指向fake chunk 的mem位置
4. 释放 + 重获fake chunk 拿到用作于堆块的栈空间
5. 修改返回地址为shellcode指针

最终exp:

# -*-coding:utf-8 -*
from pwn import *

context.log_level = 'debug'
context.arch = 'amd64'
SigreturnFrame(kernel = 'amd64')

binary = "./pwn200"

global p
local = 1