sctf_2019_easy_heap

最新推荐文章于 2025-07-29 19:45:28 发布

fayinq

最新推荐文章于 2025-07-29 19:45:28 发布

阅读量357

点赞数

CC 4.0 BY-SA版权

分类专栏： CTF Pwn Heap 文章标签： python

本文链接：https://blog.youkuaiyun.com/fayinq/article/details/124309601

本文介绍了sctf_2019_easy_heap挑战的解决思路，由于保护全开，只能通过修改__malloc_hook或__free_hook。存在off-by-one漏洞，可以利用overlap技术。通过泄露的Mmap地址，将__free_hook或__malloc_hook指向shellcode所在的内存区域，从而获取shell。文章详细分析了main、add、Free和Edit函数，并提出了利用大型bin快速实现目标的策略。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

sctf_2019_easy_heap

在这里插入图片描述

保护全开，所以又只能修改__malloc_hook,或者说__free_hook了。

函数分析：

main函数

在这里插入图片描述

add函数

在这里插入图片描述

Free函数

在这里插入图片描述

Edit函数

在这里插入图片描述

下面的函数中有一个off-by-one的漏洞，所以我们可以很自然的想到overlap

思路

首先，程序在运行的时候泄露了一段Mmap的地址，至于给了一个地址，那一定是有用的东西，这里可以思考，是不是可以直接往里面写一段shellcode，然后把__free_hook或者说__malloc_hook改成前面的Mmap的地址里，就可以getshell。

然后就是add完了之后，会给一个heap的地址，也就是说按照一般思路我们可以少泄露一个地址。

这里既然限制了chunk的数量，那么说要存留一个main_arena附近的值最好就是用large_bin了，又快又好用。用完overlap之后，直接用修改两个小chunk的fd，让他能指向自己想要的地方。

# -*- coding: UTF-8 -*-
from pwn import *
from LibcSearcher import *
context.log_level = 'debug'
local_file  = './sctf_2019_easy_heap'
libc = ELF('/home/yjc/Desktop/Libc/U18/libc-2.27-64.so')
select = 1

if select == 0:
    p = process(local_file)
    #gdb.attach(p)
else:
    p = remote('node4.buuoj.cn',29641)
    #libc = ELF(remote_libc)
elf = ELF(local_file)


def