house of orange

house of orange

这个技术的特点是对堆的伪造不用想普通的UAF 在释放内存后进行伪造内存，而是利用堆分配的特性把未分配的内存触发到fastbin中，直接malloc后就可以触发漏洞。也就是不用free这一步的操作。

libc 2.23及以下版本（2.24版本开始对vtable有check，不过也可以绕过）不可用

本次笔记基于看雪
看雪CTF.TSRC 2018 团队赛 第十四题

• 这个东西好像在新版的libc.so中不太好用，不过有点意思记录下吧。
  
  图形描述堆利用过程

house of orange

1.分配一个堆块
2.溢出topchunk修改size
3.申请超出size的堆，topchunk进入unsorted bin。
4.申请小于size的堆，old_top分为两块。
5.

pwn HCTF2017 babyprintf

_IO_flush_all_lockp函数会刷新_IO_list_all 链表中所有项的文件流，相当于对每个 FILE 调用 fflush，
通过检查
(fp->_mode <= 0 && fp->_IO_write_ptr > fp->_IO_write_base)或者 (_IO_vtable_offset (fp) == 0 && fp->_mode > 0 && (fp->_wide_data->_IO_write_ptr > fp->_wide_data->_IO_write_base) )
调用 _IO_OVERFLOW

可以利用其中的 _IO_str_finsh和_IO_str_overflow这两个函数_IO_str_overflow (_IO_FILE fp, int c)
因为调用(char)fp+0xE8和(char*)fp + 0xE0，所以可以把这部分设置成system的地址。